Appleの「macOS」修正姿勢に専門家が批判　「なぜパッチをすぐ配布しないのか」

Appleが脆弱性を修正する一連の行動について、セキュリティベンダーMalwarebytesが問題を提起した。批判の焦点はどこにあるのか。

公開 2021年12月22日 05時03分

更新 2021年12月23日 22時09分

著者

Alexander Culafi

[TechTarget]

印刷する連載新着通知を受け取る

　セキュリティベンダーMalwarebytesは、2021年11月に公開した公式ブログのエントリ（投稿）で、Appleの脆弱（ぜいじゃく）性修正プロセスを批判した。「Appleの脆弱性修正プロセスには一貫性がなく、同社製品のセキュリティに悪影響を与えた」という主張だ。

Appleがパッチをすぐに配布しなかった“謎”

　このブログエントリを執筆したのは、MalwarebytesでAppleのクライアントデバイス「Mac」およびモバイルデバイス分野の担当ディレクターを務めるトーマス・リード氏だ。リード氏は、香港の民主派政治団体と報道機関を狙った「水飲み場型攻撃」に注目している。水飲み場型攻撃とは、標的がよく利用するWebサイトにマルウェアを仕込む攻撃手法を指す。リード氏によると、この水飲み場型攻撃で悪用されたトロイの木馬（特定条件下で攻撃活動を開始するマルウェア）は2019年から出回っているが、これまでほとんど検出されなかった。

　この水飲み場型攻撃は「macOS」に存在する次の2つの脆弱性を悪用する。

CVE-2021-1789
- Webサイトのレンダリングエンジン「WebKit」で任意のプログラムを遠隔実行する「リモートコード実行」を可能にする脆弱性
CVE-2021-30869
- MacのOSである「macOS」が採用するカーネル（OSの中核プログラム）「XNU」で、より上位のアクセス権限を不正に取得する「権限昇格」を可能にする脆弱性

併せて読みたいお薦め記事

Appleの姿勢に対する反応

　Appleは、2021年2月に公開した「macOS Big Sur」のバージョン11.2でCVE-2021-1789およびCVE-2021-30869を修正した。macOS Big Surはその時点におけるmacOSの最新メジャーバージョンだ。一方「macOS Catalina」「macOS Mojave」といったそれ以前のバージョンに対しては、同社は異なるタイミングでパッチを提供した。

　CVE-2021-1789は、Webブラウザ「Safari」のバージョン14.0.3へのアップデートを適用すれば、macOS Catalinaのバージョン10.15と、macOS Mojaveのバージョン10.14でも修正済みとなる。AppleはSafariのバージョン14.0.3へのアップデートを、macOS Big Surのバージョン11.2と同時に公開した。

　CVE-2021-30869についてAppleは、macOS Big Surの修正から半年以上後の2021年9月にパッチを公開してmacOS Catalinaを修正した。同社はmacOSの最新メジャーバージョンとして「macOS Monterey」を2021年6月に発表、同年10月に公開した。

　2つの脆弱性を使った攻撃を最初に報じたのは、Googleの脅威分析グループ（TAG：Threat Analysis Group）だ。同社によると、この攻撃の試行回数は、同社が把握するまでに200回台に達していた。