2021年12月22日 05時00分 公開
特集/連載

Appleの「macOS」修正姿勢に専門家が批判 「なぜパッチをすぐ配布しないのか」Appleの脆弱性への姿勢に疑問の声【前編】

Appleが脆弱性を修正する一連の行動について、セキュリティベンダーMalwarebytesが問題を提起した。批判の焦点はどこにあるのか。

[Alexander Culafi,TechTarget]

関連キーワード

Apple | セキュリティ | 脆弱性対策 | パッチ


 セキュリティベンダーMalwarebytesは、2021年11月に公開した公式ブログのエントリ(投稿)で、Appleの脆弱(ぜいじゃく)性修正プロセスを批判した。「Appleの脆弱性修正プロセスには一貫性がなく、同社製品のセキュリティに悪影響を与えた」という主張だ。

Appleがパッチをすぐに配布しなかった“謎”

 このブログエントリを執筆したのは、MalwarebytesでAppleのクライアントデバイス「Mac」およびモバイルデバイス分野の担当ディレクターを務めるトーマス・リード氏だ。リード氏は、香港の民主派政治団体と報道機関を狙った「水飲み場型攻撃」に注目している。水飲み場型攻撃とは、標的がよく利用するWebサイトにマルウェアを仕込む攻撃手法を指す。リード氏によると、この水飲み場型攻撃で悪用されたトロイの木馬(特定条件下で攻撃活動を開始するマルウェア)は2019年から出回っているが、これまでほとんど検出されなかった。

 この水飲み場型攻撃は「macOS」に存在する次の2つの脆弱性を悪用する。

  • CVE-2021-1789
    • Webサイトのレンダリングエンジン「WebKit」で任意のプログラムを遠隔実行する「リモートコード実行」を可能にする脆弱性
  • CVE-2021-30869
    • MacのOSである「macOS」が採用するカーネル(OSの中核プログラム)「XNU」で、より上位のアクセス権限を不正に取得する「権限昇格」を可能にする脆弱性

 Appleは、2021年2月に公開した「macOS Big Sur」のバージョン11.2でCVE-2021-1789およびCVE-2021-30869を修正した。macOS Big Surはその時点におけるmacOSの最新メジャーバージョンだ。一方「macOS Catalina」「macOS Mojave」といったそれ以前のバージョンに対しては、同社は異なるタイミングでパッチを提供した。

 CVE-2021-1789は、Webブラウザ「Safari」のバージョン14.0.3へのアップデートを適用すれば、macOS Catalinaのバージョン10.15と、macOS Mojaveのバージョン10.14でも修正済みとなる。AppleはSafariのバージョン14.0.3へのアップデートを、macOS Big Surのバージョン11.2と同時に公開した。

 CVE-2021-30869についてAppleは、macOS Big Surの修正から半年以上後の2021年9月にパッチを公開してmacOS Catalinaを修正した。同社はmacOSの最新メジャーバージョンとして「macOS Monterey」を2021年6月に発表、同年10月に公開した。

 2つの脆弱性を使った攻撃を最初に報じたのは、Googleの脅威分析グループ(TAG:Threat Analysis Group)だ。同社によると、この攻撃の試行回数は、同社が把握するまでに200回台に達していた。

TechTarget発 先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

ITmedia マーケティング新着記事

news093.jpg

2021年の炎上発生件数は1766件、前年対比24.8%増――「デジタル・クライシス白書2022」
2021年のデジタル・クライシス(ソーシャルメディアを中心としたネット上で発生した危機...

news029.jpg

若者のインスタ離れを食い止めるためにMetaが下した「古参ユーザー切り捨て」の決断
Metaの若者文化への主要な接点であるInstagramは現在、反撃を目指している。メタバースへ...

news129.jpg

2022年のEC売り上げ、6割が「伸びる」と予測――フューチャーショップ調査
コロナ禍でも拡大し続けるEC、ポイントは口コミSNSの活用にありそうです。