トルコのセキュリティ研究者が、macOS High Sierraに重大な脆弱性があることを発見しました。この脆弱性を利用すると、攻撃者はパスワードなしでコンピュータにアクセスし、強力な管理者権限を得ることができます。Appleは、ほぼすべてのmacOSシステムに影響する脆弱性を修正するパッチを公開しました。

しかし、パッチを適用していないシステムはまだ安全ではありません。

バグについては何ですか？

この欠陥は、トルコの開発者であるLemi Orhan Ergan氏によって発見されました。Authentication" ダイアログボックスにユーザー名として "root" を入力するだけで、誰でも macOS High Sierra コンピュータへの完全な管理アクセスを取得できるようになります。そして、パスワードフィールドを空白のまま、「ロック解除」ボタンを2回クリックすると、完全な管理者権限が付与されます。

理論的には、パッチがインストールされるまでMacを放置しておくと、誰かが簡単にあなたのコンピュータにアクセスして破壊することができます。例えば、マルウェアのインストール、キーチェーンアクセスを利用したパスワードの取得、Apple IDの削除や破損などが考えられます。

でも、Appleはその問題を解決しましたよね？

この記事を書いている間に、Appleはこの問題を解決するためのセキュリティ・アップデートをリリースしました。Appleのセキュリティコンテンツアップデートでは、「認証情報を検証する際に論理エラーが発生した」と記載されています。この問題は、クレデンシャルの検証を改善することで解決されました。"

修正プログラムはすでにMac App Storeで公開されています。また、11月29日（水）時点でSierra 10.13.1を搭載しているMacコンピュータには、自動的にアップデートが適用される予定です。Appleはこれについてさらに詳しく説明し、以下の声明を発表しています。

"セキュリティはすべてのApple製品の最優先事項であり、残念ながらmacOSのリリースで挫折を味わいました。

「当社のセキュリティエンジニアは、火曜日の午後にこの問題を認識し、直ちにセキュリティホールを塞ぐためのアップデートに取り掛かりました。このアップデートは、今朝8時にダウンロードが開始され、本日以降、macOS High Sierraの最新バージョン（10.13.1）が動作するすべてのシステムに自動的にインストールされる予定です。

"このような誤りがあったことを深く反省し、この脆弱性の公開とご心配をおかけしたことを、すべてのMacユーザーの皆様にお詫び申し上げます。お客様にはもっといいものがあるはずです。再発防止に向け、開発プロセスの見直しを行っています。"

でも、もうバレてる？

残念ながら、この問題は表面化したものの、何の対策もとられていない。Appleのサポートフォーラムのメンバーが、2週間前にこの脆弱性の正確な詳細を投稿しています。最初の投稿や返信では、この主なバグは深刻なセキュリティ上の脅威ではなく、トラブルシューティングのための潜在的な機能として扱われていたようです。

これからどうすればいいのでしょうか？

まず、システムのアップデートを確認することです。Appleは、24時間以内に自動パッチアップデートを展開する予定です。自動アップデートがまだ表示されていない場合は、Mac App Storeにアクセスし、アップデートを検索してください。または、こちらのリンクをクリックしてください。

アップデートをダウンロードしたら、すぐにインストールしてください。

動作しない

何らかの理由でアップデートをインストールできない場合は、まずシステムをシャットダウンして電源を入れ、もう一度やり直してください。

それ以外の場合は、以下の手順で同時にシステムを保護します。

1. Spotlightを開き、ディレクトリユーティリティを検索し、適切なオプションを選択します。
2. ロックをクリックすると変更されます。管理者アカウントのユーザー名とパスワードを入力します。
3. メニュー＞編集
4. Enable Root Userを選択し、パスワードを作成し、確認します。

ただし、これはあくまで応急処置ですので、正式なアップデートをインストールしてみてください。

ソースから目を離さない

Apple社がこの脆弱性を修正したとき、Lemmy Orhan Ergenに注目が集まりました。自称「ソフトウェア職人」は、責任ある情報公開ガイドラインに従っていないとして批判を浴びている。責任ある情報開示とは、セキュリティ研究者が企業にセキュリティ上の脅威を知らせ、欠陥を修正する時間を確保することです。欠陥が修正された後、研究者はその結果を一般に発表することができます。

もちろん、このシステムが期待通りに動くとは限らない。企業は対応せず、セキュリティ研究者は焦る。このような場合、公開された問題によって、企業はセキュリティの脅威を修正することを余儀なくされます。

多くの批判を受けたエルゲン氏は、メディアで反撃に出た。彼は、自分が「ハッカーでもセキュリティ専門家でもない」と説明し、さらに、"私はプログラミングをするときに安全なコーディングの実践にのみ重点を置いているが、セキュリティ専門家とは決して呼べない "と述べた。

公平を期すために、このバグはAppleのサポートフォーラムで議論されました。さらにエルガン氏は、決済会社Iyzicoの同僚が11月23日にAppleに対する脅迫を公表したが、返答はなかったと主張している。

ボールから目を離さない

源流から、会社へ。アップルはこの一件を見過ごしたのか？一言で言えば、そうです。特に、エルガンが言っているようなエラーに気づいている場合は。残念ながら、私たちは真実を知らないので、信頼できる評価を下すことはできません。

1年ぶり2回目の強制的なセキュリティアップデートの後でも、Appleは何も心配することはありません。macOSとiOSのマルウェアのインスタンスは増加傾向にありますが、WindowsとAndroidは依然として主要な標的となっています。さらに、アップル社は、増大する脅威を鎮めるために迅速かつ効果的なアップデートをリリースしていることからもわかるように、ほとんどの点で優れたセキュリティ実績を誇っています。

アップル社のセキュリティ侵害に遭われた方、あるいはアップデートがすぐに来て心配がなくなった方。 以下にご意見をお聞かせください。