Macのブラウザのセキュリティ脆弱性と危険なファイルの自動実行

'02.3.1 ('03.7.2更新)

今回の脆弱性の件 (2002年1月) をごく簡単にまとめました。より詳しい情報はvm_converterさんの「Auto file execution vulnerability in Mac OS」をご覧ください。

今回の脆弱性は2種類のバグから起こり、2つの異なる脆弱性が存在しています。OS XではClassic環境を起動してある場合に問題がでます。

バグ1

バグ2

IE, NN, iCab, Safari等Macの殆どのブラウザでmeta要素での呼び出しで、ブラウザで表示できないファイルが自動ダウンロードされ、しかもダウンロード時に確認ダイアログが出ず、無条件でダウンロードされてしまう。仕様だとしたら危なすぎですね。

自動ではありませんが、Macユーザだと当たり前に思っているリンククリックでのファイルダウンロードでも、確認がなくダウンロードが始まりますね。どういう呼び出し方にせよ、確認ダイアログが出ないのは危険なのです。WindowsではIEもNNもちゃんとダイアログが出てキャンセルできます。

脆弱性1

バグ1とバグ2のために、ページを見ただけで、悪意ある実行ファイルがダウンロードされファイルの自動実行が起こる。

脆弱性2

バグ2のために、ページを見ただけで、クライアントで自動ダウンロード→StuffIt Expanderで自動マウント→QuickTime (Classic版) で自動実行が発生。ダウンロード以外はバグではありませんが、危なっかしい仕様ですね。

OS X版のブラウザだとOS X版のExpanderが使われますが、その場合でもClassic環境のQuickTimeで自動実行されます。
《対処3》自動マウントオフか、自動実行オフが必要。


以上です。自動マウントと自動実行は危険を孕んでいるので両方オフにしておいた方が安心です。HDD名を変えるのも汎用的な脆弱性対策になります。

自動ダウンロード時には、ダウンロードマネージャ等のウィンドウが開きます。そこで中止しても殆ど間に合わないのですが、開いたまま背後にあるとダウンロードされても全く気が付きません。必要なものをダウンロードし終わったらこまめに閉じるようにしましょう。

危険な記述のページに巡り会う可能性は低いでしょうが、きわめて危険度が高いバグなので、ぜひ対処しましょう。

任意のファイルのダウンロードと実行が可能なのですから、自分だけでなく、他人に迷惑をかけてしまう可能性も大いにありますしね。

関連情報

StuffIt Expander 6.5.2以前のバージョンに脆弱性が発見されています。ブラウザの自動ダウンロードと組み合わされると、ページを見ただけで任意のコマンドが実行されてしまいます。7.0以降のバージョンに入れ替えましょう。

(7.0の解凍には多少不具合があるので、6.5も残しておきたいですね。そのまま残すと自動的に使われてしまう虞れがあるので、圧縮するかHDDの別のパーテーションにコピーします)