Appleより「Security Update 2006-002」がリリース

Apple Computerより米国時間13日、今月に入って2度目となる Mac OS Xのセキュリティアップデートがリリースされています（About Security Update 2006-002）。

この度リリースされた「Security Update 2006-002」は、適用対象として「Mac OS X 10.3.9（Client、Server）」「Mac OS X 10.4.5（Intel、PPC）」が挙げられており、米国時間1日付にてリリースされた「Security Update 2006-001」によって引き起こされる問題点の修正として、以下の項目が示されています。

• apache_mod_php
• automount
• Bom
• Directory Services
• iChat
• IPSec
• LaunchServices
• LibSystem
• loginwindow
• Mail
• rsync
• Safari
• Syndication

また、新たに発見された脆弱性に対するパッチとして、

• apache_mod_php
• CoreTypes
• LaunchServices
• Mail
• Safari
• rsync

が示されています。

上記の中で、「CoreTypes」では リモートWebサイトにおけるJavaScriptの動作を改善し、一部特定環境下においてMac OS Xのセキュリティ機構が迂回され、ローカルファイル等にアクセスされる危険性が指摘されていた脆弱性を修正。「Apple Mail」では、細工が施された添付ファイルを開いた時に発生し得たバッファ・オーバーフローを抑制。「Safari」「LaunchServices」「CoreTypes」においては、悪質なWebサイトにアクセスした際に 任意のプログラムが実行され、攻撃者がユーザと同じ権限を得る事も可能とされているだけに、危険度も高いと思われます。

その他、前回の修正項目の一部でもあった ダウンロードファイル種別の判別に関しては、不正なファイルタイプにおける変種の追加チェック、ダウンロード確認メカニズムの強化と誤判別の抑制が含まれています（具体的には、Wordドキュメントやカスタムアイコン等の安全なファイルに対する挙動の修正が施されている等、ファイル検証精度の向上を主としています）。

このように、「Security Update 2006-001」が対象としていた悪質なファイルの亜種を特定するためのチェック機能も追加で提供される等、細工が施されたファイルにおける自動実行の抑止に注力。「rsync」「Apple Mail」にも 更なる修正が加えられているとの事なので、対象ユーザにとっては必須のアップデートなるでしょう。尚、前回のアップデータにおける修正漏れ、或いは不具合等を幾つか含んでいるため、否定的な意見が持ち上がるのは必至かと思われますが、個人的な意見としては、セキュリティに関するパッチは 状況次第で小出しになる事も止むを得ないと考えておりますし、ある一定の完成度で一度提供するという手法も、被害の抑制のためには必要な事かとも思います。勿論、完全が最良であるという前提に基づいた事ではありますが。