絵文字なんて問題じゃない？全てのOS XユーザーがOS X Yosemite 10.10.3にアップデートした方がいいセキュリティ上の理由。

　Appleが先週リリースしたOS X Yosemite 10.10.3では管理者ユーザーがパスワード無しにrootへ昇格できるrootpipeという脆弱性が修正されましたが、セキュリティ研究者のGrahamさんが「今回のOS X Yosemite 10.10.3に潜むクリティカルな脆弱性はrootpipeだけではない」という内容の記事を公開しています。詳細は以下から。

　Sophos,やMcAfee, Dr Solomonなどで働き、現在はIntegoのセキュリティ研究者のGraham Cluleyさんによると「多くのMacユーザーはOS X 10.10.3へのアップデートを数百以上の絵文字が使えたり新しいPhotosアプリが使用できるという理由で行うと思いますが、しかしもっと重要な理由があります。（略）それはAppleが今回のアップデートで合計80もの脆弱性に対してパッチをリリースしたことです」として以下の様はクリティカルな脆弱性が修正された理由から全てのOS Xユーザーに対してOS X 10.10.3へのアップデートを勧めています。

Many people will be updating their iMac desktops and MacBooks to take advantage of hundreds of new emojis and Apple’s long-awaited replacement for iPhoto (imaginatively entitled Photos), but there are more serious reasons why you should be considering freshening your installation of OS X.
[…]
In all, Apple has released patches addressing 80-or-so different security issues
[Forget Emojis, Security is the Real Reason You Should Update to OS X 10.10.3 – The Mac Security Blog]

CVE-2015-1130：rootpipe

　CVE-2015-1130 通称「rootpipe」については既に多くの方々が目にしていると思いますが、少なくとも2011年からOS X内に存在するバックドアAPIによってOS Xの管理者ユーザーをパスワード無しにroot権限へ昇格できる脆弱性で、

　 発見者のEmil KvarnhammarさんがAppleとの契約に基づきOS X 10.10.3がリリースされた後に全容を公開し、サンプルコードも公開されたことから複数のユーザーで再現性が確認されています。（少なくともOS X 10.7.5, 10.8.2, 10.9.5, 10.10.2では実行可能だそうです）

OSX 10.10.2以前で、任意のファイルをrootの所有にできる + setuidもつけれる = root権限でやり放題、という脆弱性です。この脆弱性はOSX 10.10.3（Yosemite最新）にて修正されましたが、10.9（Mavericks）以前のバージョンには修正予定がないそうです。

[…]
成功しました。怖いですね。
[Security – OSX10.10.2以前で一般ユーザーからrootへ昇格できる脆弱性「rootpipe」が怖い – Qiita]

CVE-2015-1105

　パーソナルクラウドサービスを運営しているsandstorm.ioのKenton Vardaさんが発見した脆弱性CVE-2015-1105についてAppleは「リモートの攻撃者がサービス拒否攻撃を実行できる可能性のある脆弱性」と説明していますが、

Kernel
Available for: OS X Yosemite v10.10 to v10.10.2
Impact: A remote attacker may be able to cause a denial of service
Description: A state inconsistency issue existed in the handling of TCP out of band data. This issue was addressed through improved state management.

CVE-ID
CVE-2015-1105 : Kenton Varda of Sandstorm.io
[About the security content of OS X Yosemite v10.10.3 and Security Update 2015-004 – Apple Support]

　Kenton Vardaさんによれば「私は数カ月前にAppleの製品のほとんどに使用されているDarwinカーネル内にこのバグを見つけた。このバグはChrome, Node.jsや関連した他のアプリに対して攻撃者がDoS攻撃を行える可能性がある」として最終的には無限ループに陥る危険性があると説明しています。

A few months ago I discovered a security bug in the Darwin kernel used by most Apple products. The bug could allow an attacker to trivially remotely DoS a variety of network services and apps, from Node.js to Chrome. Today, Apple released a patch (look for CVE-2015-1105), so now I can tell you about it.

[Remotely send Chrome and Node.js into infinite loops via this one weird OSX kernel bug – Sandstorm News]

　この脆弱性に対してもAppleはOS X 10.10以外にパッチを提供していないようです（今後も提供されない？）。

CVE-2015-1137

　CVE-2015-1137はYahoo Pentest Teamが発見したnVidia GeForceドライバに潜むNull Pointerのバグで、GeForceドライバ “10.2.1 310.41.15f01″がインストールされたMacBookを使用して発見され、攻撃者がこの脆弱性を利用してコードの実行およびユーザー権限を昇格できる危険性を含んでいるそうです。（この脆弱性に対してはYosemiteだけではなくOS X Mavericks v10.9.5でもSecurity Update 2015-004で修正されています）

The Yahoo Pentest Team discovered a NULL pointer dereference flaw (CVE-2015-1137) in the nVidia GeForce (nvAccelerator) kernel driver which ships with OS X Yosemite. This bug was discovered and verified on Macbook models using the GeForce driver version “10.2.1 310.41.15f01″.

[…]
It is possible for an attacker to exploit this vulnerability by mapping the NULL page which can result in code execution and privilege escalation.

[Nvidia NULL Pointer Vulnerability – CVE-2015-1137 – Yahoo Security]

　（これ以外もありますが）以上の様にOS X Yosemite 10.10.3でしか修正されていない脆弱性が複数存在することからGrahamさんは全てのOS Xユーザーに対しOS X 10.10.3にアップデートすること推奨する一方、「OS X 10.10.3へアップデート出来ない理由があるなら、せめてOS X 10.8 Mountain Lion／OS X 10.9 Yosemite向けに配信されたApple Security Update 2015-004を適用した方がいいでしょう」ともコメントし、

Even if you haven’t made the switch to OS X Yosemite yet, you’re still advised to check out Apple Security Update 2015-004 as it will help you patch earlier versions of OS X (Mavericks and Mountain Lion).

[Forget Emojis, Security is the Real Reason You Should Update to OS X 10.10.3 – The Mac Security Blog]

　最後に「たとえ貴方が私のように絵文字の魅力が分からない意地の悪い人だとしても、今回のAppleのアップデートは無視しないで下さい。セキュリティ上の理由からアップデートするか、貴方がスマイル(マーク)を失うかのどちらかです」と締めています。

Even if you’re a curmudgeon like me who doesn’t understand the appeal of emojis, don’t disregard this new update from Apple.

Install it for security reasons, or you’ll be the one left without a smiley face.
[Forget Emojis, Security is the Real Reason You Should Update to OS X 10.10.3 – The Mac Security Blog]

関連リンク：
・About the security content of OS X Yosemite v10.10.3 and Security Update 2015-004 – Apple Support

・Forget Emojis, Security is the Real Reason You Should Update to OS X 10.10.3 – The Mac Security Blog

トレンドマイクロ ウイルスバスター クラウド 3年版 ダウンロード版 Mac版 (最新・3台版) [Software Download]

トレンドマイクロ

2015/04/13 19:02：失礼しました、序文修正しました。ご指摘ありがとうございます。