Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

OS Xの既知脆弱性を狙う攻撃コード - 「Yosemite」以前はゼロデイ状態

Appleは、9月30日に最新OS「OS X El Capitan 10.11」を公開、さらに10月21日にセキュリティアップデートをリリースしたが、これらで修正された脆弱性を狙う攻撃コードが公開されている。悪用が容易であるとして、セキュリティベンダーが注意を呼びかけている。

問題の脆弱性は、ユーザーに確認せずに「スクリプトエディタ」を実行する「CVE-2015-7007」。さらに「remote_cmds」コンポーネントに権限の昇格が可能となる「CVE-2015-5889」が存在しており、これらを組み合わせることで、「Safari」によるウェブページの閲覧などによって、リモートよりコードを実行、権限の昇格によりシステムの制御を奪われるおそれがあるという。

悪用コードが公開されており、脆弱性を検証したソフトバンク・テクノロジーは、容易に攻撃が可能であると危険性を指摘している。

またこれら脆弱性の修正は、「OS X El Capitan」を対象に実施されたが、「OS X Yosemite」でも影響を受けることも確認。「OS X Yosemite」以前には修正プログラムが用意されておらず、脆弱性を解消するためには、「OS X El Capitan 10.11」へのアップグレードが必要な状態であるとして、注意を呼びかけている。

(Security NEXT - 2015/11/05 ) このエントリーをはてなブックマークに追加

PR

関連記事

VMware、MDS脆弱性の影響を緩和するアップデート
Intelプロセッサに「MDS」の脆弱性 - アップデートをリリース
EC-CUBE向けの簡易脆弱性診断を無償提供 - SHIFT SECURITY
Intel プロセッサの「MDS」脆弱性、OSベンダーも対応呼びかけ
MS、月例パッチで脆弱性79件を解消 - 一部でゼロデイ攻撃が発生
Windowsに深刻な脆弱性、ワームに悪用可能 - 「Windows XP」など旧OSにもパッチ提供
「Adobe Acrobat/Reader」に84件の脆弱性 - アップデートで修正
「Adobe Flash Player」に深刻な脆弱性 - コード実行のおそれ
「WebLogic」に対する攻撃、国内でも多数観測
「Cisco ESC」に深刻な脆弱性 - 管理者権限で操作されるおそれ