OS XにDHCP応答でroot権限取得の脆弱性 12
ストーリー by yourCat
公表はパッチ提供まで待ってほしかった 部門より
公表はパッチ提供まで待ってほしかった 部門より
Mac OS Xにリモートからroot権限を取得される脆弱性があることがCarrel.orgより公表された。悪意あるDHCP応答によりroot権限を取得される危険性があるというもので、10.2.xおよび10.3.xで確認したが、それ以前のバージョンも同様であろうと報告されている。
対処法は以下の通り。
- ディレクトリアクセス (/Applications/Utilities/Directory Access.app) でLDAPv3を選択、「設定...」から「DHCPから提供されるLDAPサーバを使用する」のチェックを外す
- 同じくディレクトリアクセスでNetInfoを選択、「設定...」から「ブロードキャストプロトコルを使って接続する」「DHCPプロトコルを使って接続する」のチェックを外す
- 使っていないのならいっそのことディレクトリアクセスのLDAPv3とNetInfoそのもののチェックを外す
Appleからは、この脆弱性に対するパッチはまだ提供されていない。
AppleはCarrel.orgに対し、当初11月3日にパッチを提供すると返事をしていたが、何らかの理由で見送られた。その後12月に提供するSecurity Updateでの対応に変わったが、Carrel.orgはAppleに連絡してから48日が経過したので、パッチを待たず公表したという。
Pantherって (スコア:2, 参考になる)
Re:Pantherって (スコア:1, 参考になる)
がPantherの遅れでしたし、発売ももっと早い予定だったようなフシがあります。
これまで通りちゃんとテストは行われていますよ。WWDCで開発者に渡してから
外部の少なくとも何千人レベルで数カ月テストが行われている訳ですからね。
リリース直後は、取りきれていないバグが多かったのは今までもそうですし、他の
OSでもそうですよね。Jaguarも10.2.0-10.2.3では割とメジャーな問題がいくつも
判明して、アップデートを繰り返して品質が上がりました。Pantherもまだ何度か
アップデートがあって品質が上がるでしょう。
Re:Pantherって (スコア:1)
来年末(かな?)に10.4が出る頃には、変更後バグが出てきても余り慌てずに対応できるように経験を積みたいと思います。
恐縮でした。
Re:Pantherって (スコア:1)
こともあるのではないかと思います。再来年1月にMacWorld EXPO SFで発表とか。
(Public Beta 1 2000年9月, Pulic Beta 2 2000年10月)
Cheetah 2001年3月-10.0.4まで
Puma 2001年9月-10.1.5まで
Jaguar 2002年8月-10.2.8まで
Panther 2003年10月-現在10.3.1(年内10.3.2?)
Tiger?Lion? 2005年初頭?(10.4? 10.5?)
Re:Pantherって (スコア:1)
とりあえず新機能よりOSとして枯らしていく方を選んで欲しい。
Apple KB:32478 (スコア:2, 参考になる)
AppleからKnowledge Base文書"Mac OS X: Directory Access Configuration In the Presence of a Malicious DHCP Response [apple.com]"が出ています。使っていないなら、"Use DCHP-supplied LDAP Server"のチェックを外すようにとのこと。
# なぜか図が表示されませんが。
Re:Apple KB:32478 (スコア:1)
補足。ディレクトリサービスを使っているときは、管理者と相談して、手動でLDAPサーバーを指定するようにとのこと。
これを悪用するには (スコア:1)
Re:これを悪用するには (スコア:2, 参考になる)
とりあえず、あわてる必要もないような (スコア:1)
これって元々チェックされてないんじゃないでしょうかね?
今見たら(PowerMac、PowerBook、iBookで確認)、全部のOSでチェックがはずれていました。
とはいえ、BUGは存在するんだろうから、さっさとアップデートしてほしいな・・・
Re:とりあえず、あわてる必要もないような (スコア:2)
Pantherへはアーカイブしてからのインストールを選択してアップグレードした状態です。
なので、確認する事は必要でしょう。
Re:とりあえず、あわてる必要もないような (スコア:1)
アップデートは、一度OSが壊れたことがあったので、バックアップとを取って、毎回新規インストールする癖にが付いてました。