「macOS 10.13.1（High Sierra）でパスワードなしで管理者権限を取得できる脆弱性が見つかる」記事へのコメント

rootユーザ無効でも入れてしまう

[Anonymous Coward]

rootユーザを有効化していなくても入れるというのは結構ポイント高い(何の)。

Re:

[Anonymous Coward]

FBIやNSAのバックドアとして素晴らしい

Re:rootユーザ無効でも入れてしまう

[Anonymous Coward]

若干厳しい条件があるもののリモートからでもログインできるらしい。
もちろんパスワードなしで。もちろんrootに。

Re:

[Anonymous Coward]

ソース下さい。信じないわけじゃないけど本当ならMacの電源を落とさないといけない。

Re:rootユーザ無効でも入れてしまう

[Anonymous Coward]

たとえできたとしても、WAN経由だとそう簡単には行かないですよ。

# 家庭内からのアタックの危険ならご苦労様

Re:

[Anonymous Coward]

これまで報告を読んできた限りGUIコンポーネントのバグっぽいので、あくまでlocal rootの脆弱性でありremote rootじゃないと思うのですが、#3320715みたいに自信たっぷりに言われちゃうと不安になります。

local rootだから安心とはいかないけど、こちらはサーバー系など動かしていないただの家庭ユーザーなので、念の為にrootにパスワードを設定した上でパッチが出るまでは新規ソフトのインストールはしないようにしておけばまあ大丈夫だろうと考えてたのですが・・・。

法人系のシステム管理者はマジで頭が痛いでしょうね。お察しします。

Re:rootユーザ無効でも入れてしまう

[ma_kon2 (9679)]

痛いが，サーバ系はすでに無くて良かった。
うん，Xserveは撤退して当たり前の開発力だわ。

Re:rootユーザ無効でも入れてしまう

[shesee (27226)]

macOSはOSの起動画面からVNC接続が効くんです。なのでGUIログインのバグであれば、そのままリモートデスクトップでも適用可能です。インターネット経由の場合はVPNが通っていれば可能だと思います。VPNが乗っ取られている前提ですが。

Re:

[Anonymous Coward]

単なるGUIコンポーネントのバグで、無効化されている root が有効化されるのか...
すごいな!

Re:rootユーザ無効でも入れてしまう

[shesee (27226)]

あ、あとWindowsのクライアントOSと違ってマルチセッションです。使っている裏でroot取られているという事が起きます。

Re:

[Anonymous Coward]

それ単にリロードしただけちゃうん

Re:

[Anonymous Coward]

単なるGUIコンポーネントじゃなくてログイン権限を付与出来るコンポーネントだから、当然root権限を持ってないといけない。

Re:

[Anonymous Coward]

こういう時のこと考えたら1ユーザーのみにされてるWindowsクライアントの設定って「あり」なんだなぁと思ってしまった。サルでも分かるもん。

不便だなぁと思っちゃうけどね。

Re:

[Anonymous Coward]

画面共有してるとまずいってさ。そりゃそうだわな。

Re:

[Anonymous Coward]

電源落とすよりもrootにパスワードを設定する方が簡単なような