プロクシー利用時に影響受ける脆弱性「FalseCONNECT」 - OS XやiOSは修正済み

さらにWebKitによるアクセスでは、置き換えた応答によってブラウザ上で任意のスクリプトが実行されるおそれがある。WebKitを利用するiOSをはじめ、Mac OS Xの「Safari」「iTunes」「AppStore」のほか、映像端末「Apple TV」にも影響があった。

Appleでは、CFNetworkプロクシーの脆弱性として、「iOS 9.3.3」をはじめ、「OS X El Capitan 10.11.6」「Security Update 2016-004」「tvOS 9.2.2」で修正を行っている。

またApple以外にもMicrosoft、Oracle、Operaなどの製品に影響があることが判明しており、セキュリティ機関では脆弱性の影響について情報を提供し、ベンダー情報を確認し、必要に応じてアップデートを講じるよう注意を喚起した。

くわえて信頼できないネットワークにおいて、プロキシ経由によるアクセスを避けたり、「Proxy auto-configuration（PAC）」や「Web proxy auto-discovery（WPAD）」が不要な環境では設定を無効化するなど緩和策の実施を呼びかけている。

8月16日時点における各ベンダーへの影響（表：CERT/CC）

（Security NEXT - 2016/08/17 ） ツイート

PR

関連記事

「Citrix Workspace app for Windows」に2件の脆弱性
Cisco、9月16日にセキュリティアドバイザリを公開予定
Check PointのVPN機能に深刻なRCE脆弱性 - ライブパッチや更新を提供
「Adobe Acrobat/Reader」にセキュリティ更新 - 脆弱性32件を解消
「FortiOS」や「NetScaler」など脆弱性4件の悪用を警告 - 米当局
米CISA、悪用脆弱性リストに4件を追加
「Ivanti Neurons for ITSM」に複数脆弱性 - 6件が「クリティカル」
MS、9月の月例セキュリティ更新で脆弱性973件に対応
「Adobe Campaign Classic」に緊急対応必要なRCE脆弱性
「Chrome 153」を公開、脆弱性230件を修正 - ゼロデイも