2015.06.18 19:15|カテゴリ:Security

OS X、iOSの重大な脆弱性を悪用した他のアプリが保存したパスワードやデータを盗み出すことができる不正なアプリがAppStoreで公開される


 アップルのOS X、iOSで使用されているパスワードなどの機密情報を格納する「KeyChain」に半年以上もの間、修復できずにいる危険な脆弱性があることが公表されました。

Apple CORED: Boffins reveal password-killer 0-days for iOS and OS X • The Register
Six university researchers have revealed deadly zero-day flaws in Apple's iOS and OS X, claiming it is possible to crack Apple's password-storing keychain, break app sandboxes, and bypass its App Store security checks.




 インディアナ大学のセキュリティ研究者たちによる論文で公開されたこの脆弱性は、2014年10月に発見され、アップルにも報告されたものの、それから8ヶ月たった今もまだ修正できていないとのこと。
 
 その論文はこちらで読むことができます。

 この脆弱性を利用したアプリを使うことで、他のアプリで使用しているパスワードやデータにアクセスすることが可能です。研究者たちは、それを証明するアプリをなんとMac AppStoreに提出し、審査をくぐり抜け、公開に成功しています。

 これが何を意味するかというと、悪意のある第三者がこの脆弱性を悪用したアプリをAppStoreで公開することが可能だということです。これは実に危険なことです。

 同研究者たちは、この脆弱性を検証する動画を公開しています。以下の動画ではEvernoteのデータベースにアクセスしていることがわかります。Evernoteに様々なデータを預けている人はかなりショックなのではないでしょうか?

 BID Attack on OS X Yosemite - YouTube
 (限定公開なので直接YouTubeのサイトで御覧ください)

 このように、不正なアプリを介し他の正規のアプリを攻撃する手法を研究者たちはcross-app resource access (XARA) 攻撃と名づけています。デモ動画ではEvernoteが対象でしたが、他にはFacebookや1Passwordなどとてもプライバシー度の高いメジャーなアプリもこの攻撃による影響を受けるそうです。

 「XARA」攻撃は、現在のところアプリ側で防ぐのは困難なため、アップルによるOSレベルでの脆弱性の修正が一刻も早く必要です。しかし、8ヶ月もの間、修正できなかったこの脆弱性がすぐに修正されるかどうかは不明です。脆弱性の詳細が公開されたため、今後しばらくの間は、OS XおよびiOSユーザは非常に危険な状態であると言えます。


 ※他にも、デモ動画が複数公開されていますので気になる方は以下の動画を御覧ください。

 Keychain attack demo: steal iCloud authentication token - YouTube

 ▶ Keychain Vulnerability of Google Chrome on OS X - YouTube
 

検索フォーム
スポンサードリンク
はてブ人気記事
スポンサードリンク
Twitter
スポンサードリンク
スポンサードリンク
おすすめApp
スポンサードリンク
プロフィール

reynotch

Author:reynotch
Twitter:@reynotch
Facebook
Google


セキュリティネタやiPhone、iPad、Android関連の記事を中心に気になったことを書いています。
IT系のネタはあまり難しくならないように、わかりやすい言葉で書きたいと考えています。