「Twitterで手口公開」に批判も

macOSに“パスワードなしでrootになれる”脆弱性、悪用されたら何が起きていたのか？

Appleの「macOS High Sierra」に、完全な管理者権限をもつユーザーとしてシステムにログイン可能になる脆弱性が見つかった。既に修正済みのこの脆弱性を攻撃者が悪用すると、どのような被害につながったのか。

　AppleのクライアントOS「macOS High Sierra」に存在していた脆弱（ぜいじゃく）性は、攻撃者が一切の認証手順を回避し、完全な管理者権限をもつユーザーとしてログインすることさえ可能にするものだった（現在は修正済み）。

　このセキュリティ問題が脚光を浴びたのは、決済システムを手掛けるトルコのベンダーiyzico Payment Servicesのアジャイルソフトウェア開発者、レミ・オーハン・アージン氏が、ミニブログ「Twitter」へ2017年11月28日に投稿したツイート（つぶやき）が発端だった。

　アージン氏はTwitterでAppleに対し、標的とするシステムに物理的にアクセスできる人物なら誰であれ、「ログインボタンを何回かクリックすると、パスワードが空欄のままでも、管理者権限を持つユーザーである『root』としてログインできてしまう」という認証回避問題を認識しているかどうかと問い掛けた。

　この問題が指摘されたのは初めてではなかった。アージン氏はオンラインメディア「Medium」への寄稿の中で、2017年11月23日に同氏の勤務先のインフラチームから、macOSのこの脆弱性のことを知らされたと説明。Apple製品の開発者コミュニティー「Apple Developer Forums」では、同月13日からこの問題に言及する投稿があったことを明らかにした。

　「責任ある開示のガイドラインに従わなければ、あらゆる人にとってのリスクを増大させる」。変更管理製品ベンダーTripwireの製品管理・戦略担当副社長、ティム・アーリン氏はこう語り、アージン氏のTwitterへの投稿を批判する。今回のような情報が一般に公開されれば「特に重大な脆弱性の場合、悪意ある攻撃者の間で可能な限り広範囲に情報が拡散されるのは確実で、パッチが公開される前に攻撃を急ごうという気を起こさせる」（アーリン氏）。

　セキュリティ組織SANS Instituteのインターネット早期警戒プロジェクト「Internet Storm Center」（ISC）のセキュリティコンサルタント、ザビエル・マーテンズ氏は、この問題について警戒を促す中で、当面の対策としてrootユーザー用のパスワードを設定する方法を紹介した。

　Appleは2017年11月29日、macOSのこの問題を修正するためのパッチを公開し、クレデンシャル（ID／パスワードなど認証に必要な資格情報）の検証にロジックエラーがあったと説明。この問題は「クレデンシャルの検証を強化することで解決した」という。

脆弱性を突かれた後に起こること

この記事の著者

関連記事

• 

  iPhone Xの顔認証「Face ID」が早くも突破　“予想よりずっと簡単”なその手口とは

• 

  「iPhone」を無線LANにつなぐだけでデータ流出の恐れ――脆弱性発見コンテストで判明

新着ホワイトペーパー PR

• 製品資料
  [ファインディ株式会社] AI利用率だけでは説明できない成果　開発組織の競争力を生む「開発資本」とは？
• 製品資料
  [ニュータニックス・ジャパン合同会社] AI活用を成功へ導く、シンプルで費用対効果に優れたクラウド基盤とは？
• 製品資料
  [ニュータニックス・ジャパン合同会社] マネージドKubernetesには限界も――メリットをフル活用する新たな選択肢とは？
• 技術文書・技術解説
  [ニュータニックス・ジャパン合同会社] 決断の日が迫る「vSphere 8」サポート終了問題　考慮すべきリスクと選択肢は？
• 製品資料
  [サイバーソリューションズ株式会社] メール誤送信対策のルールが肥大化　苦しむ情シスはどうすれば救われるのか？