絵文字なんて問題じゃない?全てのOS XユーザーがOS X Yosemite 10.10.3にアップデートした方がいいセキュリティ上の理由。

シェアする

スポンサーリンク

 Appleが先週リリースしたOS X Yosemite 10.10.3では管理者ユーザーがパスワード無しにrootへ昇格できるrootpipeという脆弱性が修正されましたが、セキュリティ研究者のGrahamさんが「今回のOS X Yosemite 10.10.3に潜むクリティカルな脆弱性はrootpipeだけではない」という内容の記事を公開しています。詳細は以下から。


OS-X-10-10-3-Update-Hero


 Sophos,やMcAfee, Dr Solomonなどで働き、現在はIntegoのセキュリティ研究者のGraham Cluleyさんによると「多くのMacユーザーはOS X 10.10.3へのアップデートを数百以上の絵文字が使えたり新しいPhotosアプリが使用できるという理由で行うと思いますが、しかしもっと重要な理由があります。(略)それはAppleが今回のアップデートで合計80もの脆弱性に対してパッチをリリースしたことです」として以下の様はクリティカルな脆弱性が修正された理由から全てのOS Xユーザーに対してOS X 10.10.3へのアップデートを勧めています。

Many people will be updating their iMac desktops and MacBooks to take advantage of hundreds of new emojis and Apple’s long-awaited replacement for iPhoto (imaginatively entitled Photos), but there are more serious reasons why you should be considering freshening your installation of OS X.
[…]
In all, Apple has released patches addressing 80-or-so different security issues
[Forget Emojis, Security is the Real Reason You Should Update to OS X 10.10.3 – The Mac Security Blog]

CVE-2015-1130:rootpipe

 CVE-2015-1130 通称「rootpipe」b.hatenaについては既に多くの方々が目にしていると思いますが、少なくとも2011年からOS X内に存在するバックドアAPIによってOS Xの管理者ユーザーをパスワード無しにroot権限へ昇格できる脆弱性で、


  発見者のEmil KvarnhammarさんがAppleとの契約に基づきOS X 10.10.3がリリースされた後に全容を公開し、サンプルコードも公開されたことから複数のユーザーで再現性が確認されています。(少なくともOS X 10.7.5, 10.8.2, 10.9.5, 10.10.2では実行可能だそうです)

OSX 10.10.2以前で、任意のファイルをrootの所有にできる + setuidもつけれる = root権限でやり放題、という脆弱性です。この脆弱性はOSX 10.10.3(Yosemite最新)にて修正されましたが、10.9(Mavericks)以前のバージョンには修正予定がないそうです。

[…]
成功しました。怖いですね。
[Security – OSX10.10.2以前で一般ユーザーからrootへ昇格できる脆弱性「rootpipe」が怖いb.hatena – Qiita]

CVE-2015-1105

 パーソナルクラウドサービスを運営しているsandstorm.iob.hatenaのKenton Vardaさんが発見した脆弱性CVE-2015-1105についてAppleは「リモートの攻撃者がサービス拒否攻撃を実行できる可能性のある脆弱性」と説明していますが、

Kernel
Available for: OS X Yosemite v10.10 to v10.10.2
Impact: A remote attacker may be able to cause a denial of service
Description: A state inconsistency issue existed in the handling of TCP out of band data. This issue was addressed through improved state management.

CVE-ID
CVE-2015-1105 : Kenton Varda of Sandstorm.io
[About the security content of OS X Yosemite v10.10.3 and Security Update 2015-004 – Apple Support]

 Kenton Vardaさんによれば「私は数カ月前にAppleの製品のほとんどに使用されているDarwinカーネル内にこのバグを見つけた。このバグはChrome, Node.jsや関連した他のアプリに対して攻撃者がDoS攻撃を行える可能性がある」として最終的には無限ループに陥る危険性があると説明しています。

A few months ago I discovered a security bug in the Darwin kernel used by most Apple products. The bug could allow an attacker to trivially remotely DoS a variety of network services and apps, from Node.js to Chrome. Today, Apple released a patch (look for CVE-2015-1105), so now I can tell you about it.

[Remotely send Chrome and Node.js into infinite loops via this one weird OSX kernel bugb.hatena – Sandstorm News]

 この脆弱性に対してもAppleはOS X 10.10以外にパッチを提供していないようです(今後も提供されない?)。


CVE-2015-1137

 CVE-2015-1137はYahoo Pentest Teamが発見したnVidia GeForceドライバに潜むNull Pointerのバグで、GeForceドライバ “10.2.1 310.41.15f01″がインストールされたMacBookを使用して発見され、攻撃者がこの脆弱性を利用してコードの実行およびユーザー権限を昇格できる危険性を含んでいるそうです。(この脆弱性に対してはYosemiteだけではなくOS X Mavericks v10.9.5でもSecurity Update 2015-004で修正されています)

The Yahoo Pentest Team discovered a NULL pointer dereference flaw (CVE-2015-1137) in the nVidia GeForce (nvAccelerator) kernel driver which ships with OS X Yosemite. This bug was discovered and verified on Macbook models using the GeForce driver version “10.2.1 310.41.15f01″.

[…]
It is possible for an attacker to exploit this vulnerability by mapping the NULL page which can result in code execution and privilege escalation.

[Nvidia NULL Pointer Vulnerability – CVE-2015-1137 – Yahoo Security]

 (これ以外もありますが)以上の様にOS X Yosemite 10.10.3でしか修正されていない脆弱性が複数存在することからGrahamさんは全てのOS Xユーザーに対しOS X 10.10.3にアップデートすること推奨する一方、「OS X 10.10.3へアップデート出来ない理由があるなら、せめてOS X 10.8 Mountain Lion/OS X 10.9 Yosemite向けに配信されたApple Security Update 2015-004を適用した方がいいでしょう」ともコメントし、


OS-X-10-10-9-Security-Update-2015-004-1

Even if you haven’t made the switch to OS X Yosemite yet, you’re still advised to check out Apple Security Update 2015-004 as it will help you patch earlier versions of OS X (Mavericks and Mountain Lion).

[Forget Emojis, Security is the Real Reason You Should Update to OS X 10.10.3 – The Mac Security Blog]

 最後に「たとえ貴方が私のように絵文字の魅力が分からない意地の悪い人だとしても、今回のAppleのアップデートは無視しないで下さい。セキュリティ上の理由からアップデートするか、貴方がスマイル(マーク)を失うかのどちらかです」と締めています。


OS-X-10-10-3-Emoji-smile-face

Even if you’re a curmudgeon like me who doesn’t understand the appeal of emojis, don’t disregard this new update from Apple.

Install it for security reasons, or you’ll be the one left without a smiley face.
[Forget Emojis, Security is the Real Reason You Should Update to OS X 10.10.3 – The Mac Security Blog]

関連リンク:
About the security content of OS X Yosemite v10.10.3 and Security Update 2015-004 – Apple Support

Forget Emojis, Security is the Real Reason You Should Update to OS X 10.10.3 – The Mac Security Blog

2015/04/13 19:02:失礼しました、序文修正しました。ご指摘ありがとうございます。

コメント

  1. Apple7743 より:

    >OS X 10.9 Yosemite
    Mavericksかと

  2. Apple7743 より:

    マベにも来てくれるよね?

  3. Apple7743 より:

    Mavericksすら切り捨てるとはな

  4. Apple7743 より:

    10.8.5で最近のsecurityアップデートを適用すると、スリープ復帰後にシステムが壊れちゃうんだが

  5. Apple7743 より:

    OS X 10.8.5 に最近の『セキュリティアップデート 2015-004』を適用後も
    問題なく動いているけど。

  6. Apple7743 より:

    言うても一般人は知らずに4年無防備だったわけや
    こんなのがまだまだあるんやろな

  7. Apple7743 より:

    >>Appleが先週リリースしたOS X Yosemite 10.10.3&Security Update 2015-004で管理者ユーザーがパスワード無しにrootへ昇格できるrootpipeという脆弱性が修正されましたが、
    Security Update 2015-004 は、 OS X 10.8用 と OS X 10.9用 であり、
    OS X 10.10 用の Security Update 2015-004 は無いのでは?
    rootpipeは、 OS X 10.10.3 へのアップデートと云う形で修正されているのでは?

  8. Apple7743 より:

    そのうちiOSみたいに最新OSしかサポートしなくなりそうで怖いな。