Mac OS Xを狙う攻撃コードが登場--アップル、アップデート適用を呼びかけ

　Apple ComputerのMac OS Xにある脆弱性を悪用する攻撃コードが米国時間6月28日に登場したため、パッチ適用の必要性が急速に高まっている。

　このコードは、Appleが自社のOSに対応する アップデートを公開したその翌日に登場した。この悪質なプログラムは「launchd」と呼ばれるOSコンポーネントの脆弱性を利用するもので、この脆弱性はローカルで悪用することができる。

　Symantecは顧客向けのセキュリティ警告を29日に更新し、「攻撃者が問題を悪用し、権限を引き上げて任意のコードを実行する可能性がある」と述べた。

　Appleは27日、合計5件の脆弱性を修正した「Mac OS X 10.4.7」を投入した。これらのうち4件はMac OS Xのクライアント版にも関係するが、残りの1件であるウイルス対策ソフトウェア「ClamAV」の脆弱性はサーバ版のみに関係する。

　Appleの関係者は29日、ユーザーには公開するアップデートをすべてインストールしてソフトウェアを完全に最新の状態にしておくよう推奨している、と述べた。

　この関係者は、このエクスプロイトコードが実行される可能性に言及し、「この概念実証コードは27日のMac OS X 10.4.7アップデートで対処済みだ」と述べた。

　このエクスプロイトコードは、Digital Munitionのセキュリティ研究者Kevin Finisterre氏が開発した。Finisterre氏は2006年2月にも、Mac OS Xをターゲットにし、AppleのBluetoothソフトウェアが8カ月前から抱えていた脆弱性を利用して感染を広げる「Inqtana」ワームを開発している。一連の行動にはAppleのソフトウェアが無敵でないことを証明する意図もある、と同氏は語っている。

　Mac OS X 10.4.7は、「Software Update」経由でダウンロードするか、もしくはスタンドアロンのインストーラが用意されている。通常、Mac OSは1週間に1度アップデートの有無を自動的にチェックしている。

iTunesもアップデート

　Mac OS X 10.4.7へのアップデートとは別に、Appleは「iTunes 6.0.5」も29日に公開した。同アップデートでは、脆弱なシステムでサービス拒否（DoS）攻撃や侵入者による任意のコード実行を可能にするセキュリティ関連の問題を修正したという。

　同社は自社のセキュリティウェブサイトで、「iTunes 6.0.5以前のバージョンが搭載するAACファイルの解析コードには整数オーバーフローの脆弱性がある。悪意を持って作成されたAACファイルを解析すると、iTunesが異常終了したり、任意のコードが実行されたりする可能性がある。iTunes 6.0.5は、AACファイル読み込み時のチェック方法を改善することでこの問題に対応した」と述べている。

　Appleによると、iTunesのこの脆弱性は、Mac OS Xの10.2.8以降の各バージョンと、Microsoft Windows XPおよび2000に影響があるという。