Appleが脆弱性を修正する一連の行動について、セキュリティベンダーMalwarebytesが問題を提起した。批判の焦点はどこにあるのか。
セキュリティベンダーMalwarebytesは、2021年11月に公開した公式ブログのエントリ(投稿)で、Appleの脆弱(ぜいじゃく)性修正プロセスを批判した。「Appleの脆弱性修正プロセスには一貫性がなく、同社製品のセキュリティに悪影響を与えた」という主張だ。
このブログエントリを執筆したのは、MalwarebytesでAppleのクライアントデバイス「Mac」およびモバイルデバイス分野の担当ディレクターを務めるトーマス・リード氏だ。リード氏は、香港の民主派政治団体と報道機関を狙った「水飲み場型攻撃」に注目している。水飲み場型攻撃とは、標的がよく利用するWebサイトにマルウェアを仕込む攻撃手法を指す。リード氏によると、この水飲み場型攻撃で悪用されたトロイの木馬(特定条件下で攻撃活動を開始するマルウェア)は2019年から出回っているが、これまでほとんど検出されなかった。
この水飲み場型攻撃は「macOS」に存在する次の2つの脆弱性を悪用する。
Appleは、2021年2月に公開した「macOS Big Sur」のバージョン11.2でCVE-2021-1789およびCVE-2021-30869を修正した。macOS Big Surはその時点におけるmacOSの最新メジャーバージョンだ。一方「macOS Catalina」「macOS Mojave」といったそれ以前のバージョンに対しては、同社は異なるタイミングでパッチを提供した。
CVE-2021-1789は、Webブラウザ「Safari」のバージョン14.0.3へのアップデートを適用すれば、macOS Catalinaのバージョン10.15と、macOS Mojaveのバージョン10.14でも修正済みとなる。AppleはSafariのバージョン14.0.3へのアップデートを、macOS Big Surのバージョン11.2と同時に公開した。
CVE-2021-30869についてAppleは、macOS Big Surの修正から半年以上後の2021年9月にパッチを公開してmacOS Catalinaを修正した。同社はmacOSの最新メジャーバージョンとして「macOS Monterey」を2021年6月に発表、同年10月に公開した。
2つの脆弱性を使った攻撃を最初に報じたのは、Googleの脅威分析グループ(TAG:Threat Analysis Group)だ。同社によると、この攻撃の試行回数は、同社が把握するまでに200回台に達していた。
米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
お知らせ
米国TechTarget Inc.とInforma Techデジタル事業が業務提携したことが発表されました。TechTargetジャパンは従来どおり、アイティメディア(株)が運営を継続します。これからも日本企業のIT選定に役立つ情報を提供してまいります。
「猛暑」「米騒動」「インバウンド」の影響は? 2024年に最も売り上げが伸びたものランキング
小売店の推定販売金額の伸びから、日用消費財の中で何が売れたのかを振り返るランキング...
Netflixコラボが止まらない 「イカゲーム」シーズン2公開で人気爆上がり必至のアプリとは?
Duolingoは言語学習アプリとNetflixの大人気ドラマを結び付けたキャンペーンを展開。屋外...
Yahoo!広告における脱デモグラフィックの配信・分析を実現 電通が「DESIRE Targeting」を提供開始
電通の消費者研究プロジェクトチームは、消費者を理解し、Yahoo!広告の配信や分析を実施...