Apple、OS XとiOSのXARA脆弱性についてコメント。サーバーサイドのセキュリティはアップデート済で、他の脆弱性についてはセキュリティ研究者と協力して対応中。

　AppleがiMoreの取材に対しOS XとiOSのXARA脆弱性についてコメントしたそうです。詳細は以下から。

　先日、Keychain Accessを含めたAppleの複数のシステムにXARA(Unauthorized Cross-app Resource Access)脆弱性があることが公開されましたが、このXARAについてiMoreがAppleに取材したところ、Appleの広報は「今週初めサーバーサイドの安全なアプリのデータを更新し、Mac App StoreからSandboxの構成問題があるアプリをブロックしました。我々は現在進行中の修正プログラムを持っており、セキュリティ研究者と協力して彼らが論文で主張している不具合についても調査中です」とコメントしたそうです。

Update: Apple has provided iMore with the following comment on the XARA exploits:

Earlier this week we implemented a server-side app security update that secures app data and blocks apps with sandbox configuration issues from the Mac App Store,” an Apple spokesperson told iMore. “We have additional fixes in progress and are working with the researchers to investigate the claims in their paper.”

[Apple comments on XARA exploits, and what you need to know | iMore]

　サーバーサイドの修正はBID（Bundle ID）の”Container Cracking”だと思われますが、XARA脆弱性は複数のタイプに分類(Keychain, BID, WebSocket, URL scheme)されており、全て修正されるにはしばらく時間がかかりそうです。

関連リンク：

• MacOS XとiOSのXARA脆弱性について – @_Nat Zone
• Apple comments on XARA exploits, and what you need to know – iMore
• AgileBits、1Password miniとブラウザ拡張機能間に存在する「XARA」脆弱性についてコメント

ノートン セキュリティ 優待版 1年版(旧版・3台版) [CD-ROM]

シマンテック