Apple、セキュリティ更新でゼロデイ攻撃問題に対応

Apple Computer (NASDAQ:AAPL) は1日、セキュリティ更新『Security Update 2006-001』をリリースした。

すでに悪用方法が公になっていた『Mac OS X』の脆弱性に、ようやく対応した形だ。同脆弱性は、Web ブラウザ『Safari』を通じて悪用が可能で、細工した ZIP ファイルをダウンロードすると、任意コード実行の恐れがあるというものだ。最初に同脆弱性の存在が明らかになった後、数日を置いて US-CERT もセキュリティ勧告を発行していた。

今回のセキュリティ更新では、脆弱性データベース登録番号で数えると、全部で19種の脆弱性に対応した。また、最近存在が明らかになったワーム『CME-4』(別名 Leap.A) についても、対策を施している。同ワームは、Apple 製インスタントメッセージ (IM) クライアント『iChat』を通じて感染を拡げるものだ。

Apple は今回のセキュリティ更新で、最初に触れた脆弱性以外にも、Safari について4件の脆弱性を修正している。以下、これらの脆弱性を見ていこう。

まず1件目は、『WebKit』が特定の HTML コードを処理した際、ヒープベースのバッファオーバーフローが起きるという問題だ。同脆弱性により、悪意を持って作成された Web ページにアクセスした場合、任意コード実行の恐れがある。

2件目も、悪意を持って作成された Web ページにアクセスすると、任意コード実行の恐れがあるというものだが、原因は異なる。こちらは細工した『JavaScript』コードを含むページにアクセスすると、スタックバッファオーバーフローが起きるという問題だ。

3件目は、Safari のセキュリティモデルに関する脆弱性だ。Safari は、インターネットドメインからローカルドメインのリソースに対するリダイレクトを防ぐ仕組みを備えている。しかし、HTTP リダイレクトに関係する問題を悪用すると、この仕組みをすり抜けられるという問題が存在する。そのため、Web サイトを用意した攻撃者が、攻撃相手のローカルドメインで JavaScript を実行する可能性がある。

4件目は、『Safari RSS』の RSS フィード処理に関する脆弱性だ。この脆弱性により、Safari のセキュリティモデルを回避して、RSS フィードに埋め込まれた JavaScript コードを実行する恐れがあるというものだ。

今回のセキュリティ更新では、ほかにも『Perl』、rsync サーバー、IPSec 実装、『PHP』(PHP 用 Apache モジュール)、automount デーモン、『FileVault』、ユーザー認証、『Mail』などの脆弱性を修正している。これらの脆弱性の影響は、サービス不能化 (DoS) や任意コードの実行など多岐に渡る。

なお脆弱性の修正以外では、ワーム感染を含め、iChat を通じて悪質コードが入り込まないようにするため、ファイル転送の際、ファイル種別が不明か安全ではないものだった場合、警告を出すように修正を施した。

Twitter	iPhoneアプリ / iPadアプリ		Androidアプリ
Facebook	RSS	ニュースメール