Apple、OS X 10.10.3で修正した脆弱性の一覧を公開。パスワード無しで管理者のユーザー権限をroot化できる脆弱性、通称「rootpipe」も修正される。

　AppleがOS X Yosemite 10.10.3とSecurity Update 2015-004で修正した脆弱性の一覧を公開しています。詳細は以下から。

　AppleはOS X 10.10.3およびSecurity Update 2015-004で修正した脆弱性リストを公開しており、このリストには合計で80の共通脆弱性識別子（CVE）が記載されています。この中にはスウェーデンのホワイトハッカーEmil Kvarnhammarさんが2014年11月に一部を公開し、修正されるまで全ての情報開示をしないとしていた（Appleと契約していた）「攻撃者がMacの管理者ユーザー権限をパスワードを必要すること無くrootにできる」という通称rootpip（CVE-2015-1130）も修正されたと記載されていますが、

　同時にリリースされたOS X Mountain Lion／Mavericks用のSecurity Update 2015-004では修正されたという記載は無く、

Admin Framework
Available for: OS X Yosemite v10.10 to v10.10.2
Impact: A process may gain admin privileges without properly
authenticating
Description: An issue existed when checking XPC entitlements. This
issue was addressed with improved entitlement checking.
CVE-ID
CVE-2015-1130 : Emil Kvarnhammar at TrueSec

[About the security content of OS X Yosemite v10.10.3 and Security Update 2015-004 – Apple Support]

　Kvarnhammarさんにようると「OS X 10.10.3でrootpipeは修正されました。Appleはこの脆弱性の修正をOS X 10.9.xやそれ以降のバージョンで行わない。（Appleとの取決めにより）rootpipeの完全な情報開示を行います」ということで、OS X Mavericks以前のOSではこの脆弱性の修正を行われないようです。

注：正確にはこのProof of ConceptはOS X 10.8.5 Mountain LionとOS X 10.10 Yosemiteで実行可能でOS X 10.9.x Mavericksでは使えないとされており、またrootpipeの詳細についてはまだ公開されていません。
 

関連リンク：
・OS X Yosemiteにパスワード無しで管理者のユーザー権限をroot化できる深刻な脆弱性 通称「rootpipe」が発見される

・Apple、OS X Mountain Lion＆Mavericks向けに「セキュリティアップデート 2015-004」と「Safari 7.1.5／6.2.5」をリリース

ATOK 2014 for Mac [プレミアム] 通常版 [USBメモリスティック]

ジャストシステム