「Security Update 2006-001リリース」記事へのコメント

不完全?

[docile-jp (16652)]

適用したんですが、ターミナルに関連づけした書類の zip アーカイブ(自分で実験用に作ったやつ)をSafari でダウンロードしてみたらそのまま実行されるケースが…。

Re:不完全?

[Anonymous Coward]

ん？なんかそれ間違ってない？

zipをターミナルに関連付けたらそうなるのは当たり前の気がするが…

Re:不完全?

[docile-jp (16652)]

いや、zip がターミナルに関連づけられているのではなくて、「ターミナルに関連づけした拡張子 .mov の、実行属性付き書類」の Zip アーカイブ。

--
とりあえず feedback はしてみた

Re:不完全?

[elsee9 (15678)]

同じような実験をしてみました。
中身が

#!/bin/sh
echo "hello :-)"

のみのtest.movにchmod +xして、FinderでTerminal.app書類に
してからzipアーカイブ作成。これを「安全なファイルを開く」Safariで
落としたら、

"test.mov.sh"はアプリケーションです。
アプリケーション"test.mov.sh"をダウンロードしてもよろしいですか？

(キャンセル) (ダウンロード)

というシートが出ました。（何故か.shが付いている）
キャンセルを押すとディスク上に保存されず、ダウンロードを押すと
test.zipを解凍したtest.movがディスク上に保存されました。
自動実行はされませんでした。

というわけで一応対策されているように思いますが、どのような
方法でzipアーカイブを作成されたのでしょうか？

Re:不完全?

[docile-jp (16652)]

ええと、そのケースでは、アップデート適用以前から自動実行は起こらないはずです。今回の件では、１行目のソレは要らないのですわ。
また、アップデート適用後は、すでに公開されている実証コードをダウンロードしても自動実行されないことも確認済みです。

で、
| どのような方法でzipアーカイブを作成されたのでしょうか？
違うのはスクリプトの中身です。Zip アーカイブを作るところとかの手順は（たぶん）同じ。

--
そこに書かれている「中身」をちょいと変えると再現できると思います

Re:不完全?

[elsee9 (15678)]

#894279のAC氏共々、ご指摘&解説ありがとうございます。

先ほどのtest.movのshebangを削ってみたところ、表示される
シートの内容は若干違いましたが、やはり自動実行されませんでした。
（中身によるのかも知れませんね）

しかし、中身を見るにも限界がある気がするので、やはり属性による
厳しいチェック（推奨アプリケーション以外で開かせようとする実行可能書類を
安全と見なさない、等）が必要な気がします。

Re:不完全?

[docile-jp (16652)]

> 中身を見るにも限界がある気がするので、やはり属性による
> 厳しいチェック（推奨アプリケーション以外で開かせようとする実行可能書類を
> 安全と見なさない、等）が必要な気がします。
そこは同意します。

ところで、ここで具体的な再現方法を書くべきか否かをずっと悩んでいるのですがどうするのが良いでしょうねぇ...。
未知であれば黙っているべきでしょうけど、今回のような

• 基本的な方法は既知である
  
• 既存のデモプログラムで試す限りでは対策されている
  
• わずかな変更で網の目を抜けることができる

という状態の時に。

--
公開したとして責任を他の誰かにもかぶせるような意図はないですよ