Mac OS Xは一部の人から極めて安全なOSだと思われている。その人たちは、同OSには多くのセキュリティ機能があるため、Appleのソフトを使えば、危険を冒してMicrosoftのWindowsを使うよりもずっと安全でいられると主張している。Microsoftがパッチを当ててきたセキュリティ脆弱性の数と、Appleのそれとを比べれば証拠は歴然だと彼らは言う。そのロジックの真相が見え始めていることを彼らは知りたがるかもしれない。それは単なるミスリーディングなのだ。 Appleは先に、Mac OS X 10.5 Leopardのアップデートをリリースした。Airportシステムとの互換性向上やBluetoothの信頼性強化のほか、18件のセキュリティフィックスを盛り込んでいる。これらのフィックスは、悪意を持ったハッカーがシステムファイルにアクセスすることを許したり、第三者が画像リンクを利用し

Appleは米国時間2月12日、「Mac OS X」のセキュリティアップデートをリリースした。任意のコード実行を誘発する可能性のある「Safari RSS」の脆弱性や機密情報が漏えいする恐れのある「Remote Apple Events」の脆弱性など24件以上の脆弱性を修正する。 また、サービス拒否（DoS）を引き起こす恐れのある「AFP Server」の脆弱性や、任意のコード実行を誘発する可能性のある「Apple Pixlet Video」「ClamAV」「CoreText」「Python」「SMB」「X11」の脆弱性も修正される。ローカルユーザーにシステム特権を与えることを可能にする「Printing」のセキュリティホールと、他のローカルユーザーにパスワードが漏えいする恐れのある「DS Tools」のセキュリティホールの修正も含まれている。 「Security Update 2009-

概要 クロスサイトスクリプティング（XSS）とは、利用者が入力した内容を表示するような構成のWebサイトに存在する欠陥を悪用して、攻撃者が用意した悪意のあるスクリプトを利用者の元に送り込んで実行させる攻撃手法。 SNSやECサイトのように閲覧者が送信したデータを何らかの形でコンテンツの一部として表示する機能を含むWebサイトが標的となる。入力内容のチェックが甘い場合に、攻撃者の仕掛けたスクリプト（Webページ上で実行される簡易プログラム）が閲覧者のコンピュータで実行される。 典型的な攻撃例は以下の通りである。まず、標的サイトには入力フォームがあり、閲覧者の入力を受け付けてサイト内の別のページに表示する。入力内容が「Hello World」の場合「http://標的サイト/message.cgi?text=Hello+World」というURLでアクセスするものとする。 フォームの受け付けプロ

「Mac OS X」に存在する深刻なセキュリティ脆弱性が悪用された場合、Appleの「Safari」ウェブブラウザが稼働するマシンの制御権を部外者に奪われるおそれがあると、セキュリティ企業Secuniaが警告している。 同脆弱性とこれを悪用するための「コンセプト実証」コードは、「Month of Apple Bugs（MOAB）」プロジェクトの一環として米国時間1月10日に公開された。LMHと名乗るセキュリティ研究者がMOABのウェブサイト上で発表したところによれば、今回の問題は、AppleのOSの最新版である「Mac OS X 10.4.8」と、過去のバージョンにも影響を与える可能性が大きいという。 Secuniaが米国時間1月9日に出した勧告には、Macユーザーが「ダウンロード後、安全なファイルを開く」というSafariのオプションを有効にしている際、同脆弱性が悪用されると記されていた

米コンピュータ緊急事態対策チーム（US-CERT）がAppleの「Mac OS X」にある脆弱性について注意を呼びかけた。 US-CERTは米国時間11月23日、先週報じられた、壊れたディスクイメージファイル（Mac用の「.dmg」ファイルフォーマット）を処理する方法にあるMac OS Xの不具合について警告を出した。 ディスクイメージファイルは、CDやDVDなどのストレージデバイスの内容と構造をデジタルで再現したもの。US-CERTによると、Mac OS Xにこの脆弱性があると、攻撃者が不正な「.dmg」ファイルを使ってシステムメモリを破壊し、任意のコードを実行したり、DoS（サービス拒否）を仕掛けたりすることが可能になるという。 この脆弱性を発見した研究者は、Appleの「Safari」ブラウザでは外部からダウンロードした「.dmg」ファイルを設定によって自動的に開けるようにできるため

「Month of Kernel Bugs」キャンペーンの一環として最近発表された、いまだパッチが公開されていない「Mac OS X」の脆弱性に関して、セキュリティ研究者が攻撃コードを公にした。 研究者は米国時間11月20日、このコンセプト実証コードは、Apple ComputerのOSがディスクイメージ（DMG）ファイルを処理する方法に存在する脆弱性を悪用すると、キャンペーンのブログに記した。同キャンペーンは、ローレベルのソフトウェアで見つかった新たな脆弱性の詳細を、11月中毎日公開していくというもの。 「LMH」というイニシャルを使うこの研究者は、「Mac OS Xのcom.apple.AppleDiskImageControllerが、破損したDMGのイメージ構造を適切に処理できないため、悪用可能なメモリ破損エラーが生じ、特権を持たないユーザーによってカーネルモードで任意のコードを実

Mac OS Xを標的とした新たなコンセプト実証ウイルスが出現。Macを使っている企業や個人もウイルス対策が必要だとSANS Internet Storm Centerは指摘する。 Mac OS Xを標的とした新たなコンセプト実証ウイルスが報告された。SANS Internet Storm Centerは11月3日、このウイルス自体はたいしたものではないが、関係者にとっての警鐘になると、サイトで指摘している。 ウイルス対策ソフトメーカー米Symantecでは、このコンセプト実証ウイルス「OSX.Macarena」の危険度を5段階評価で最も低い「Low」としている。実行されると、感染したコンピュータの現在のディレクトリ内で、ファイル名や拡張子を問わずほかのファイルに感染するという。 SANSのサイトでは、たとえ売る側がそんなものは必要ないと言ったとしても、現在猛威を振るっているウイルスが存在

Apple Computerの「Mac OS X」に存在する脆弱性を悪用するコードが週末に登場した。 このコードは、Mac OS Xの中核部分に存在する脆弱性を悪用し、ユーザー権限の不正な追加を可能にするもの。Appleは先週、カーネルでのエラー処理方法を修正するフィックスを公開した。もっとも、このエクスプロイトコードはフィックスが登場する前に書かれたもののようだ。 Matasano Securityの研究者Dino Dai Zovi氏は、「脆弱性が修正されるよりも前にこのコードは書かれたようだ」と述べた。Appleのアップデート情報サイトには、Dino Dai Zovi氏の名前が脆弱性の発見者として記載されている。「これはゼロデイエクスプロイトのようだ。パッチがリリースされる前に配布された可能性もある」（Dino Dai Zovi氏） Apple関係者にコメントを求めたが、本稿執筆時点で

Apple Computerは米国時間9月29日、「Mac OS X」のアップデートを公開した。同アップデートは、パッチ未適用のシステムで攻撃者が任意のコードを実行することを許してしまう複数の脆弱性を修正する。 このアップデートは、Appleの「ダウンロード」ページもしくは「ソフトウェアアップデート」経由で入手できるようになっており、全部で15カ所あるセキュリティ上の脆弱性を修正する。また、Mac OS Xと「Safari」のほか、Adobe Systemsの「Flash Player」にある特定の機能に対する脆弱性も修正する。 今回のアップデートで修正される脆弱性の1つとして、悪質なサイトを信頼できるサイトのように表示することを許してしまうSafariの脆弱性が含まれている。この脆弱性を悪用すると、適切な認証が行われていないにもかかわらず、信頼できるサイトであることを証明する、ロックされ

サンディエゴ発--オープンソースブラウザ「Firefox」について、2人のハッカーが米国時間9月30日午後、JavaScriptの扱いに関する重大な脆弱性があると指摘した。 Mischa Spiegelmock氏とAndrew Wbeelsoi氏は当地で開催されたToorConハッカーカンファレンスで、悪意あるJavaScriptを含むウェブページを作成するだけで、ブラウザを実行しているコンピュータを乗っ取ることができると説明した。この脆弱性は、Windows、Apple ComputerのMac OS X、Linux上のFirefoxに影響するという。 普段はブログ企業SixApartで勤務しているSpiegelmock氏は「Internet Explorerは、誰でも知っているように、あまりセキュアではない。しかしFirefoxも、かなり危険なのだ」と述べ、脆弱性の悪用に必要な攻撃コー

一定期間更新がないため広告を表示しています

Microsoftが米国時間の8月8日にリリースした月例パッチの1つ、MS06-042（Internet Explorer用の累積的なセキュリティ更新プログラム）に、特定の条件下でIEがクラッシュするバグが存在することが明らかになった。 Microsoftは8月16日、MS06-042の情報を更新し、この不具合を修正したMS06-042のパッチを8月22日に再度リリースすることを明らかにした。 この不具合は、Windows 2000 Service Pack 4（SP4）もしくはWindows XP Service Pack 1（SP1）以前でIE 6 Service Pack 1（SP1）を動かしている環境で発生していた。MS06-042のパッチを適用すると、HTTP 1.1プロトコルおよび圧縮を使用しているWebサイトを閲覧した場合にIEがクラッシュする不具合が存在するという問題だ。

マイクロソフトは8月9日，WindowsやInternet Explorer（IE），Microsoft Officeなどのセキュリティ情報と修正パッチ（セキュリティ更新プログラム）を12件公表した。7月に見つかったPowerPointのセキュリティ・ホールを修正するパッチも含まれる。ファイルを開いたり，データを送られたりするだけで悪質なプログラムを実行される危険なセキュリティ・ホールが複数含まれるので，できるだけ早急にパッチを適用したい。 今回公開されたセキュリティ情報は，8月4日の予告どおりに12件。Windowsに関する情報が10件，Officeに関する情報が2件である（関連記事：8月公開のセキュリティ情報は12件）。そのうち，最大深刻度が「緊急」に設定されているのは以下の9件。 （1）Server サービスの脆弱性により，リモートでコードが実行される (921883) (MS06-

両氏は以前、バグのある無線LANデバイス・ドライバのコードを操作して遠隔地のノートPCをコントロールする方法を発見していた。 米セキュアワークスの研究者であるメイナー氏は同イベント会場で、Wi-Fi準拠の無線LAN機能を備えるMacBookを、高度なハッキング・ツールをインストールした他のノートPCから遠隔操作し、ファイルの追加や削除を行う模様を録画したビデオ映像を流した。 MacBookの無線LAN機能は、無線電波のスニッフィング（傍受）を常時行って新たなネットワークを見つけるように設計されている。だが、そうした機能を備える場合、特にドライバ・ソフトウェアにバグがある場合にセキュリティ上の問題を引き起こす可能性があるという。 こうしたバグは、ベンダーが複雑な無線標準の実装を急いだために生じることが多いとカリフォルニア州モントレーの米国海軍大学院の学生であるエルチ氏は指摘した。「多くのハー

米Apple Computerは8月1日、「Security Update 2006-004」を公開した。Safariのブラウザ中核技術であるWebKitの修正などが施されている。Mac OS Xのソフトウェアアップデート機能でシステムを更新できる。単体ダウンロードも提供。 セキュリティ企業数社から、Safariの未パッチの脆弱性について報告されていた。ただし、今回のパッチではこの脆弱性修正は行われていないもよう。 Appleは、このほかにAFP Server、Bluetooth、Bom、DHCP、dyld、fetchmail、gnuzip、ImageIO、LaunchServices、OpenSSH、telnetの信頼性とセキュリティの強化を実施したと説明している。

セキュリティ・ベンダーやセキュリティ組織は7月31日，Webブラウザ「Safari」に新たなセキュリティ・ホールが見つかったことを明らかにした。細工が施されたWebページにアクセスすると，Safariが不正終了させられたり，任意のプログラムを実行されたりする恐れがある。修正版などは未公開。JavaScriptを無効にすることなどが回避策となる。 今回見つかったのは，HTMLのレンダリング・エンジン「KHTML」に関するセキュリティ・ホール。divタグの要素に含まれるscriptタグを適切に処理できない場合がある。このため，細工が施されたWebページを読み込むとメモリー破壊が発生して，Safariが不正終了する。Webページに含まれる任意のプログラムを実行させられる可能性もあるという。実際，セキュリティ・ホールの発見者は，Safariを不正終了させるデモ・ページを公表している。 今回のセキュ

英Sophosは，2006年上半期におけるコンピュータ・セキュリティの被害状況について調査した結果を，米国時間7月5日に発表した。それによると，ウイルスの新種が減少する一方で，スパイウエア，トロイの木馬，フィッシングといったセキュリティの脅威が急増しているという。 同社が，2006年前半に防御した悪質なプログラム（マルウエア）は18万292種で，2005年前半の14万118種から増加した。トロイの木馬が全体の82％を占め，ワームに対するトロイの木馬の比率が昨年より上昇しているのが特徴である。 具体的には，2005年前半はトロイの木馬とワームの比率が2対1だったのに対し，2006年前半は4対1と倍増した。一方，2005年前半は電子メール35件のうち1件にペイロードを組み込んだウイルスが添付されていたのに対し，2006年前半は91件中1件へと減少した。 プラットフォーム別にみると，依然Wind

Apple ComputerのMac OS Xにある脆弱性を悪用する攻撃コードが米国時間6月28日に登場したため、パッチ適用の必要性が急速に高まっている。 このコードは、Appleが自社のOSに対応する アップデートを公開したその翌日に登場した。この悪質なプログラムは「launchd」と呼ばれるOSコンポーネントの脆弱性を利用するもので、この脆弱性はローカルで悪用することができる。 Symantecは顧客向けのセキュリティ警告を29日に更新し、「攻撃者が問題を悪用し、権限を引き上げて任意のコードを実行する可能性がある」と述べた。 Appleは27日、合計5件の脆弱性を修正した「Mac OS X 10.4.7」を投入した。これらのうち4件はMac OS Xのクライアント版にも関係するが、残りの1件であるウイルス対策ソフトウェア「ClamAV」の脆弱性はサーバ版のみに関係する。 Appleの関