「古いmacOS」を使うのは“自己責任”？　専門家がAppleのパッチ配布姿勢に苦言

同じ「macOS」の脆弱性なのに、以前のバージョンのmacOSへのパッチ配布が後回しに――。こうしたAppleの姿勢に、セキュリティベンダーMalwarebytesが苦言を呈する。

公開 2022年01月24日 05時00分

著者

Alexander Culafi

[TechTarget]

印刷する連載新着通知を受け取る

　MalwarebytesでAppleのクライアントデバイス「Mac」およびモバイルデバイス分野の担当ディレクターを務めるトーマス・リード氏の説明によれば、AppleがクライアントOS「macOS Big Sur」における脆弱（ぜいじゃく）性「CVE-2021-30869」を修正してから約7カ月間、同社は以前のバージョンである「macOS Catalina」の同脆弱性を修正しなかった。CVE-2021-30869は、AppleのクライアントOS「macOS」が採用するカーネル（OSの中核プログラム）「XNU」の脆弱性だ。

　2021年4月開催のセキュリティカンファレンス「Zer0con」では、セキュリティ研究者がCVE-2021-30869を詳細に解説した。「それにもかかわらず、パッチは未配布のままだった」とリード氏は説明。「攻撃者は攻撃活動を検出されることなく、macOS Catalinaを利用する人を狙うことができた」と問題を指摘する。

　Appleは2021年2月にmacOS Big Surのバージョン11.2を公開した当初、CVE-2021-30869の修正をリリースノートに記載しなかった。CVE-2021-30869を修正したことをリリースノートに追記したのは、macOS Catalina向けのCVE-2021-30869修正パッチを公開した2021年9月だった。