Apple、macOS 10.15.7 (19H1323)やmacOS 11.4 Big Sur (20F71)で権限のないアプリがUSBキーボードやマウスの入力をキャプチャできてしまう脆弱性を修正。

スポンサーリンク

 AppleはmacOS 10.15.7 (19H1323)やmacOS 11.4 Big Sur (20F71)で権限のないアプリがUSBキーボードやマウスの入力をキャプチャできてしまう脆弱性を修正したそうです。詳細は以下から。

Matias Aluminum keyboard

 Appleは現地時間2021年07月21日、macOS 10.15.7 Catalina向けにBuild 19H1323となるセキュリティアップデート 2021-004 Catalinaを公開しましたが、このセキュリティアップデートでは権限のないアプリがUSBキーボードやマウス入力をキャプチャできてしまう脆弱性(CVE-2021-30731)が修正されたそうです。

CVE-2021-30731

 この脆弱性はUTMチームが発見したもので、macOS Catalina 10.15.7 Build 19H1323および05月にリリースされたmacOS Big Sur 11.4 Build 20F71より前のバージョンでは承認が必要なcom.apple.vm.device-access エンタイトルメントまたはroot権限が必要なUSBデバイスのキャプチャがそれらの権限なしに実行できてしまうそうです。

 これにより、悪意のある攻撃者がMac App Storeを通して配布したアプリをUSBキーボード&マウスからの入力情報を収集するキーロガーとして利用することも可能になっていたそうなので、まだセキュリティアップデートを適用していない方は時間を見つけてアップデートすることをお勧めします。

IOUSBHostFamily

  • Available for: macOS Catalina
  • Impact: An unprivileged application may be able to capture USB devices
  • Description: This issue was addressed with improved checks.
  • CVE-2021-30731: UTM (@UTMapp)