100件近くのセキュリティ欠陥を修正する大規模なOS X アップデート

危険度：　高

2010年3月30日

概要：

• 対象：
  OS X 10.5.x (Leopard) /OS X 10.6.x (Snow Leopard)のバージョンすべて
  
• 攻撃方法：
  悪質なウェブサイトに仕向けたり、様々な種類の悪質なメディア・ファイルをユーザがダウンロードし閲覧するように誘導するなど、攻撃方法はいくつもある
  
• 影響：
  その影響は様々だが最悪の場合、攻撃者はユーザのコンピュータでコードを実行し、そのコンピュータを完全に操作できるようになる
  
• 対策：
  OS Xの管理者は、セキュリティ・アップデート2010-002または10.6.3アップデートをダウンロードし、テストしてからインストールすること

詳細：
米国時間の3月30日、アップルは現バージョンのOS Xすべてに見られる脆弱性を修正するセキュリティ・アップデートをリリースした。このアップデートは、QuicktimeやCoreMedia、MailなどOS xの一部として搭載されているコンポーネント（43種類ほど）に見られる90件以上のセキュリティ問題を修正している（数字は CVE-IDの情報によるもの）。脆弱性の中には攻撃者がユーザのOS Xを完全に操作できるようにしてしまうものもあるため、ライブセキュリティではこのアップデートを重要と評価しており、できる限り早急にアップデートをインストールすることをすすめる。修正された脆弱性には次も含まれている：

• QuickTimeコード実行の問題（複数）
  
  QuicktimeはOS Xに搭載されているビデオやオーディオを再生するマルチメディア・プレイヤーである。Appleによると、そのQuickTimeは細工されたムービーファイルを適切に処理できない点に関与する9つのコード実行問題の影響を受けているという。そうした欠陥はそれぞれ技術的には異なるが、その行動範囲と影響はまったく同じである。ユーザの1人が悪質なムービーを再生するように仕向けることに成功すると（悪質なサイトにそのファイルをホストするなど）、攻撃者は欠陥を悪用してQuickTimeをクラッシュさせたり、ユーザのコンピュータで攻撃用コードを実行したりすることができるようになる。標準設定により攻撃者はユーザの権限でのみコードを実行するが、攻撃者はAppleのアラートで説明されている他の欠陥を利用して自分の権限を昇格させ、ユーザのMacを完全に操作することもできる。
  
  
• 
  イメージ関連のメモリ破損問題（複数）
  オペレーティング・システムが様々な種類のイメージを処理するために役立つOS XコンポーネントがImageIO /Image RAW である。しかし、どちらのコンポーネントも、ある種のイメージ・ファイルを処理する方法に関与する脆弱性の影響を受けている。こうした脆弱性はそれぞれ技術的には異なるが、その行動範囲と影響はよく似ている。攻撃者は有害なウェブサイトでホストする細工済みのイメージ・ファイルを被害者に閲覧させることで欠陥を悪用し、閲覧中のアプリケーションをクラッシュさせるか、被害者のコンピュータで攻撃用コードを実行することができる。標準設定により、攻撃者はユーザの権限でのみコードを実行するが、攻撃者はAppleのアラートで説明されている他の欠陥を利用しユーザのMacを完全に操作できるようになる。
  
  
• ディスクイメージのコード実行問題
  Macコンピュータでソフトウェアをインストールする際に使われるディスクイメージはOS Xのコンポーネントであり、DMGディスクイメージ・ファイルをマウントすることができる。アップルの OS X アップデートは、そのディスクイメージにあるコード実行の脆弱性問題2つを修正している。各問題は技術的には異なるが、攻撃者は同じ方法でどちらも利用することができる。攻撃者は悪質なDMGファイルをユーザがマウントするように誘導し、こうした欠陥を悪用してユーザの権限を持った状態で、そのコンピュータでコードを実行することができる。先の欠陥と同様に、攻撃者は他の脆弱性を利用してユーザのMacを完全に操作することが可能になる。

アップルのアラートはサービス拒否（DoS）欠陥や情報開示問題、クロスサイト・スクリプティング（XSS)の脆弱性など、この他にも様々な脆弱性について説明している。

今回のセキュリティ・アップデートで修正されたコンポーネントは次の通りだ：

詳細についてはアップルのOS x 10.5.x /10.6.x アラートを参照することをすすめる。 今月初めにアップルがリリースしたSafariのアップデートをまだインストールしていない場合は、それも一緒に入れることをすすめる。


対策：
アップルはこうしたセキュリティ問題を修正するOS Xセキュリティ・アップデート2010-002と10.6.3をリリースしているので、OS X管理者は適切なアップデートをできる限り早急にダウンロードし、テストしてからインストールすることをすすめる。

• セキュリティアップデート 2010-001 (Leopard)
• セキュリティアップデート 2010-001 (Leopard Server)
• Mac OS x 10.6.3 アップデート（Snow Leopard）
• Mac OS x 10.6.3 アップデート（Snow Leopard Combo）
• Mac OS x 10.6.3 アップデート（Snow Leopard　Server）
• Mac OS x 10.6.3 アップデート（Snow Leopard　Combo）

注意：使用しているOS Xバージョンに対応するパッチが定かでない場合は、OS Xのソフトウェア・アップデート・ユティリティを使用することで状況に適したアップデートを自動的に選ぶことができる。

全ユーザ対象：
この欠陥は様々な悪用方法を有効にすることができる。ペリミター・ファイアウォールが攻撃にかかわる必要のないローカル悪用もある（部署間でファイアウォールを使用している場合は別）。この欠陥は様々な悪用方法を有効にしてしまうため、アップデートをインストールすることが安全策となる。

ステータス：
アップルはこうした問題を修正するアップデートをリリースしている。

参考資料：

• OS x 10.5x /10.6.x セキュリティ・ アップデート　3月

この記事はコーリー・ナクライナー（Corey Nachreiner, CISSP）により調査・執筆されました。