Appleの「macOS High Sierra」に、完全な管理者権限をもつユーザーとしてシステムにログイン可能になる脆弱性が見つかった。既に修正済みのこの脆弱性を攻撃者が悪用すると、どのような被害につながったのか。
AppleのクライアントOS「macOS High Sierra」に存在していた脆弱（ぜいじゃく）性は、攻撃者が一切の認証手順を回避し、完全な管理者権限をもつユーザーとしてログインすることさえ可能にするものだった（現在は修正済み）。
このセキュリティ問題が脚光を浴びたのは、決済システムを手掛けるトルコのベンダーiyzico Payment Servicesのアジャイルソフトウェア開発者、レミ・オーハン・アージン氏が、ミニブログ「Twitter」へ2017年11月28日に投稿したツイート（つぶやき）が発端だった。
アージン氏はTwitterでAppleに対し、標的とするシステムに物理的にアクセスできる人物なら誰であれ、「ログインボタンを何回かクリックすると、パスワードが空欄のままでも、管理者権限を持つユーザーである『root』としてログインできてしまう」という認証回避問題を認識しているかどうかと問い掛けた。
この問題が指摘されたのは初めてではなかった。アージン氏はオンラインメディア「Medium」への寄稿の中で、2017年11月23日に同氏の勤務先のインフラチームから、macOSのこの脆弱性のことを知らされたと説明。Apple製品の開発者コミュニティー「Apple Developer Forums」では、同月13日からこの問題に言及する投稿があったことを明らかにした。
「責任ある開示のガイドラインに従わなければ、あらゆる人にとってのリスクを増大させる」。変更管理製品ベンダーTripwireの製品管理・戦略担当副社長、ティム・アーリン氏はこう語り、アージン氏のTwitterへの投稿を批判する。今回のような情報が一般に公開されれば「特に重大な脆弱性の場合、悪意ある攻撃者の間で可能な限り広範囲に情報が拡散されるのは確実で、パッチが公開される前に攻撃を急ごうという気を起こさせる」（アーリン氏）。
セキュリティ組織SANS Instituteのインターネット早期警戒プロジェクト「Internet Storm Center」（ISC）のセキュリティコンサルタント、ザビエル・マーテンズ氏は、この問題について警戒を促す中で、当面の対策としてrootユーザー用のパスワードを設定する方法を紹介した。
Appleは2017年11月29日、macOSのこの問題を修正するためのパッチを公開し、クレデンシャル（ID／パスワードなど認証に必要な資格情報）の検証にロジックエラーがあったと説明。この問題は「クレデンシャルの検証を強化することで解決した」という。
Copyright © ITmedia, Inc. All Rights Reserved.
クラウドとオンプレミス、セキュリティ面でどちらが優れているかという議論は絶えない。クラウドのセキュリティはオンプレミスよりも劣っているのか。クラウドセキュリティの基礎と併せて解説する。
生成AIを支える大規模言語モデル（LLM）は、DDoS攻撃やプロンプトインジェクション、不正出力の誘導などさまざまな脅威にさらされている。利用時に押さえておきたい「LLMの10大脅威」と、その対策を解説する。
北里研究所は、Web会議やクラウドサービス利用の拡大に伴う回線逼迫に対処するため、新たなネットワーク構成を導入した。併せて適切なセキュリティ対策も講じている。通信最適化の具体的な手法と導入による効果とは。
「ファイアウォール」の仕組みはどれも同じではなく、幾つかの種類に分類できる。いまさら聞きづらいその仕組みを、ファイルアウォールの種類別に解説する。
「ファイアウォール」のいまさら聞けない基礎知識 その役割、運用方法は？
脱PPAPの壁はこう超える――PPAP文化を終わらせる現実解 (2025/5/19)
EDR、XDR、MDR それぞれの違いと導入企業が得られるものとは (2025/5/15)
ユーザー任せの「PCセキュリティ」はもう限界 “誰が使っても安全”な方法とは (2025/4/21)
数分でデータを人質に 進化するランサムウェアに有効な「第2世代EDR」とは (2025/3/4)
クラウドサービスの脆弱性をどう解消する？ 安全な開発環境を構築するヒント (2025/3/4)
いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ（仮想PC画面）は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
