Apple、23 個のカーネルレベルの脆弱性などを修正

2017.04.20

Apple から、macOS Sierra 10.12.4iOS 10.3 を含む大量のアップデートが公開されました。


Sierra をアップデートすると自動的にインストールされる Safari 10.1 のアップデートもありますが、OS X El Capitan (10.11) と OS X Yosemite (10.10) では個別のダウンロードして提供されます (包括的なポイントリリースではなく、セキュリティアップデート 2017-001 を適用)。


さらに、PagesKeynoteNumbers (Microsoft の Word、Powerpoint、Excel に相当するアプリケーション) で構成される iWork スイートも更新されました。


iWork のアップデートは、フォームと機能に関するものが主でしたが、興味深い脆弱性を修正するセキュリティパッチも含まれていました。この脆弱性については後ほど説明します。


注目すべきは、先日カナダのバンクーバーで CanSecWest カンファレンスと同時開催された Pwn2Own コンテスト(リンク先:英語)で明らかになった数多くのセキュリティホールが、iOS と macOS のアップデートによって修正されている点です。


ターゲットコンピュータ上のすべてのソフトウェアは、コンテスト直前にパッチが適用されます。したがって、その前の週に研究室で成功した攻撃であっても、当日には失敗することもあります。


つまり、Pwn2Own は悪用可能な脆弱性を発見することだけが目的ではありません。適切に更新されているシステムでも機能するゼロデイ脆弱性を見つけ出すための攻撃手法を探ることも重要な目的です。


賞金はそれぞれ数十万ドルに上ります。


このコンテストで発見された脆弱性は、公になるまで数週間から数か月にわたって秘密にされることもあるため、競争を重視したこのコンテストのやり方に反対している人もいます。


しかし、好むと好まざるとにかかわらず、Pwn2Own のような高額の賞金を賭けたバグ探しコンテストは、今日の脆弱性情報公開の一部となっています。


脆弱性の発見者が賞金を請求するためには、影響を受けるベンダーに攻撃の詳細を知らせ、そのベンダーが脆弱性を修正するまで詳細を機密にしなければなりません。


Pwn2Own で発見された脆弱性に対し高い報奨金が支払われるということは、攻撃者に先に発見された場合の損害の大きさを表しており、通常修正プログラムは実行可能な限り速やかに発表されます。


簡潔に言うならば、「Apple のパッチは最優先して、できるだけ早く適用してください」ということです。


Apple の自動アップデートのプロセスが開始されるのを待っていたら、数日遅れになってしまう可能性があります。今すぐに手動でアップデートがないか確認することをお勧めします。


Mac では、[Apple メニュー] > [この Mac について] > [ソフトウェア・アップデート…] をクリックしてから、App Store アプリケーションで青い「アップデートの矢印」をクリックしてください。iPhone または iPad では、[設定] > [一般] > [ソフトウェアアップデート] を選択して、最新のバージョンがインストールされていることを確認してください。筆者らがアップデートした際のダウンロードサイズは、macOS 10.12.4 では約 1.5GB、iOS 10.3 では約 650MB でした。いつもの Apple のセキュリティアップデートと同じく再起動が必要です。(一応お知らせしておくと、再起動の一環としてアップデートは 15~ 20 分で完了しましたが、その間 Mac も iPhone も使用できませんでした。)


できるだけ早くパッチを適用することの重要性をまだ理解できない方のために、Mac のセキュリティに関する Apple の公式発表の統計データをいくつか挙げておきます。


修正プログラムの数は 65 件。
CVE 番号が割り当てられた脆弱性は 127 件。
カーネル権限で任意のコードが実行される脆弱性を修正するパッチは 23 件。
AppleGraphicsPowerManagement から tiffutil まで、影響を受けるシステムコンポーネントは 42 個。

一部の脆弱性は、不正なファイル (画像、フォント、iBooks ファイルなど) を閲覧することで引き起こされる可能性があります。これらのファイルは、無害なように見える Web ページに埋め込まれていたり、リンクされたりする可能性があります。


まだ重要性を理解できない方は、以下をお読みください。


Thunderbolt に関連したメモリのプロービングとファームウェアのハッキングについては過去に取り上げていますが、今回の脆弱性は理論上、Mac に物理的にアクセスできる攻撃者であれば、メモリ内のハードディスクの復号化パスワードを見つけることができます。


コンポーネント: EFI (macOS Sierra 10.12.3)
影響: 悪意のある Thunderbolt アダプタによって、
FileVault 2 の暗号化パスワードを取得される可能性がある
説明: DMA の処理に脆弱性がありました。
この問題は、EFI で VT-d を有効にすることで解決されました。
CVE-2016-7585: Ulf Frisk (@UlfFrisk)

Mac に限らず、あらゆるコンピュータに対するメモリプロービング攻撃を緩和する方法の 1 つは、コンピュータを休止状態やスリープモードにする代わりに、コンピュータを完全にシャットダウンすることです。電源がオフになると復号化パスワードは RAM から失われるため、再び起動してパスワードを入力するまで、リカバリするものは何もありません。特に移動が多く、コンピュータを常に監視することができない方は、単にカバーを閉じるのではなく完全にシャットダウンする癖をつけてください。確かにコンピュータをスリープ状態にするよりも時間はかかりますが、多数のアプリケーションで大切なドキュメントを開いたままにしておくという危険な習慣を止めることができます。


最後に...


本記事冒頭で、iWork のセキュリティパッチについて言及しました。


iWork の修正は小規模で単純なものですが、過去の出来事を忘れると痛い目に遭うことを思い出させてくれました。


Apple によると、NumbersPagesKeynote アプリケーションの [PDFとしてエクスポート…] オプションのパスワード保護機能は、現在暗号化された PDF で使用が求められる 128 ビットの AES 暗号化ではなく、40 ビットの RC4 暗号化でファイルを暗号化する場合があります。


この問題の遠因は、かつて米国が暗号技術の輸出を規制し、ソフトウェアを輸出する際には細心の注意を払って暗号が弱められたバージョンを輸出するように課すことで、米国の諜報機関はファイルを解読できるが資金力に劣る他国の機関は解読できないようにしたことにあると考えられます。


言うまでもありませんが、20 年前の NSA (国家安全保障局) にとって、40 ビット鍵は解読できる「ちょうどよい」強度だったのかもしれませんが、今では一般的なコンピュータハードウェアでも解読が可能です。


ちなみに、英国政府は今週、WhatsApp などのサービスで使用されている暗号強度を計画的に下げるよう要求しましたが、セキュリティを弱体化させることでセキュリティを強化できるはずなどありません。

引用元

おすすめの記事はこちら