Appleが脆弱性を修正する一連の行動について、セキュリティベンダーMalwarebytesが問題を提起した。批判の焦点はどこにあるのか。
セキュリティベンダーMalwarebytesは、2021年11月に公開した公式ブログのエントリ(投稿)で、Appleの脆弱(ぜいじゃく)性修正プロセスを批判した。「Appleの脆弱性修正プロセスには一貫性がなく、同社製品のセキュリティに悪影響を与えた」という主張だ。
このブログエントリを執筆したのは、MalwarebytesでAppleのクライアントデバイス「Mac」およびモバイルデバイス分野の担当ディレクターを務めるトーマス・リード氏だ。リード氏は、香港の民主派政治団体と報道機関を狙った「水飲み場型攻撃」に注目している。水飲み場型攻撃とは、標的がよく利用するWebサイトにマルウェアを仕込む攻撃手法を指す。リード氏によると、この水飲み場型攻撃で悪用されたトロイの木馬(特定条件下で攻撃活動を開始するマルウェア)は2019年から出回っているが、これまでほとんど検出されなかった。
この水飲み場型攻撃は「macOS」に存在する次の2つの脆弱性を悪用する。
Appleは、2021年2月に公開した「macOS Big Sur」のバージョン11.2でCVE-2021-1789およびCVE-2021-30869を修正した。macOS Big Surはその時点におけるmacOSの最新メジャーバージョンだ。一方「macOS Catalina」「macOS Mojave」といったそれ以前のバージョンに対しては、同社は異なるタイミングでパッチを提供した。
CVE-2021-1789は、Webブラウザ「Safari」のバージョン14.0.3へのアップデートを適用すれば、macOS Catalinaのバージョン10.15と、macOS Mojaveのバージョン10.14でも修正済みとなる。AppleはSafariのバージョン14.0.3へのアップデートを、macOS Big Surのバージョン11.2と同時に公開した。
CVE-2021-30869についてAppleは、macOS Big Surの修正から半年以上後の2021年9月にパッチを公開してmacOS Catalinaを修正した。同社はmacOSの最新メジャーバージョンとして「macOS Monterey」を2021年6月に発表、同年10月に公開した。
2つの脆弱性を使った攻撃を最初に報じたのは、Googleの脅威分析グループ(TAG:Threat Analysis Group)だ。同社によると、この攻撃の試行回数は、同社が把握するまでに200回台に達していた。
米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
クラウドとオンプレミス、セキュリティ面でどちらが優れているかという議論は絶えない。クラウドのセキュリティはオンプレミスよりも劣っているのか。クラウドセキュリティの基礎と併せて解説する。
生成AIを支える大規模言語モデル(LLM)は、DDoS攻撃やプロンプトインジェクション、不正出力の誘導などさまざまな脅威にさらされている。利用時に押さえておきたい「LLMの10大脅威」と、その対策を解説する。
北里研究所は、Web会議やクラウドサービス利用の拡大に伴う回線逼迫に対処するため、新たなネットワーク構成を導入した。併せて適切なセキュリティ対策も講じている。通信最適化の具体的な手法と導入による効果とは。
「ファイアウォール」の仕組みはどれも同じではなく、幾つかの種類に分類できる。いまさら聞きづらいその仕組みを、ファイルアウォールの種類別に解説する。
「ファイアウォール」のいまさら聞けない基礎知識 その役割、運用方法は?
脱PPAPの壁はこう超える――PPAP文化を終わらせる現実解 (2025/5/19)
EDR、XDR、MDR それぞれの違いと導入企業が得られるものとは (2025/5/15)
ユーザー任せの「PCセキュリティ」はもう限界 “誰が使っても安全”な方法とは (2025/4/21)
数分でデータを人質に 進化するランサムウェアに有効な「第2世代EDR」とは (2025/3/4)
クラウドサービスの脆弱性をどう解消する? 安全な開発環境を構築するヒント (2025/3/4)
いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ(仮想PC画面)は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。
「サイト内検索」&「ライブチャット」売れ筋TOP5(2025年5月)
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10(2025年5月)
今週は、ECプラットフォーム製品(ECサイト構築ツール)の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」&「A/Bテスト」ツール売れ筋TOP5(2025年5月)
今週は、パーソナライゼーション製品と「A/Bテスト」ツールの国内売れ筋各TOP5を紹介し...