Mac OS Xにゼロディ脆弱性、システム制御に繋がる危険性も

「Month of Kernel Bugs(MoKB)」より現地時間20日、Mac OS Xに存在するとされる脆弱性が報告されると共に、FrSIRT、Secunia等のセキュリティベンダより現地時間21日、同脆弱性に関するアドバイザリが公開されているようです。 この度報告されたMac OS Xに存在するとされる脆弱性は「Month of Kernel Bugs」プロジェクトより検証用コードと共に報告されており(MOKB-20-11-2006、CVE-2006-6061)、同プロジェクトやFrSIRT、Secunia等のアドバイザリによると、「com.apple.AppleDiskImageController」が破損したDMGイメージストラクチャを適切に処理できない事によって生じるメモリ破損エラーに起因しているとの事。この脆弱性により、ユーザが「Safari」を用いて細工が施されたWebページを訪問した際等に、DoS(Denial of Service)攻撃やカーネルモードでの任意のコマンドの実行等を招く可能性が生じ、ブラウザクラッシュやシステム制御に繋がる危険性等が指摘されているようです。

脆弱性の危険度評価はFrSIRTが4段階中最高となる「Critical」、Secuniaでは5段階で上から2番目となる「Highly critical」に各々レーティング。影響を受けるシステムとして「Mac OS X 10.4.8」 or earlierが挙げられており、Appleによる公式パッチは現時点で未公開となっています。

尚、現時点における回避策としては、「Safari」>「環境設定...」>「ダウンロード後、"安全な"ファイルを開く」のオプションを無効にする方法が紹介されていますが……、以前にもこのオプションを悪用したセキュリティホールが幾つか報告されているだけに、何れかの対処が必要ではないかと感じています。


この記事へのコメント


この記事へのトラックバック