![ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]](/base/images/header-logo.png){kind=logo}
macOS における Disk Arbitration デーモンでの競合状態制御不備により権限が昇格可能となる脆弱性（Scan Tech Report）
脆弱性と脅威 エクスプロイト
Apple 社の macOS に、競合状態の制御不備を悪用して管理者権限が奪取可能となる脆弱性が報告されています。攻撃者が侵入、またはマルウェアが感染した場合、端末の全権を奪取する目的で当該脆弱性を悪用される可能性があります。macOS の利用者は当該脆弱性に対する影響を確認し、OS のアップデートにより脆弱性に対策することを推奨します。
----------------------------------------------------------------------
◆分析者コメント
公開されているエクスプロイトコードを用いて検証を実施した結果、現行バージョンである Sierra よりも 2 つ前のメジャーバージョンである Yosemiteまでは、当該脆弱性の影響を受けることを確認しています。マルウェアが感染端末の全権を掌握するために当該脆弱性の悪用を試行する可能性が高いと考えられます。近年は macOS を対象としたマルウェアの報告も目立つため、アップデートにより対策することを推奨します。
----------------------------------------------------------------------
◆深刻度(CVSS)
[CVSS v2]
7.6
https://nvd.nist.gov/vuln-metrics/cvss/v2-calculator?name=CVE-2017-2533&vector=(AV:N/AC:H/Au:N/C:C/I:C/A:C))
[CVSS v3]
7.0
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2017-2533&vector=AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
----------------------------------------------------------------------
◆影響を受けるソフトウェア
macOS 10.12.5 未満の macOS が当該脆弱性の影響を受けると報告されています。検証の結果、以下のバージョンの macOS で、当該脆弱性を悪用した権限昇格に成功することを確認しています。古い OS がどこまで影響を受けるかは報告されていません。
・macOS 10.12, BuildVersion 16A323 (Sierra)
・macOS 10.11.6, BuildVersion 15G31 (El Capitan)
・macOS 10.11.1, BuildVersion 15B42 (El Capitan)
・macOS 10.10.1, BuildVersion 14B25 (Yosemite)
----------------------------------------------------------------------
◆解説
Apple 社の macOS に、競合状態の制御不備を悪用して管理者権限が奪取可能となる脆弱性が報告されています。
関連記事
ソース・関連リンク
Scan PREMIUM 会員限定記事
もっと見る-
国際医療・教育・金融・保険・公共 ～ 産業別の個人情報漏えいリスク（The Register）
世界中で起こるデータ漏えいの4分の1以上が組織の「内部関係者」の椅子とキーボードの間（の人間）から生じたと知っても、組織の経営陣は驚かないだろう。もちろん、それはそのような内部関係者が怪しげなリンクをクリックしたということではない。
-
シリアの病院爆撃、遠隔医療支援時の英国人医師PCから情報窃取か（The Register）
戦争により疲弊するアレッポで、インターネット越しに手術を手引きしたイギリス人外科医が、仮設病院を狙うために自分のPCがハッキングされ、そして病院が爆撃されたのではないかと懸念している。
-
ロシアが世界に仕掛ける「ハイブリッド戦」の鍵となる自称民主主義とサイバー戦闘力
図1はロシアが展開しているハイブリッド戦争のおおまかな流れである。
-
Adobe Flash Player の Primetime SDK における Use-After-Free の脆弱性（Scan Tech Report）
Adobe Flash Player に含まれている SDK に、ポインタ制御の不備が報告されています。
-
投資家向けにセキュリティ対策状況を開示すべきか、悪用を恐れ開示しないべきか～英上場企業実態（The Register）
FTSE100（ロンドン証券取引所上場銘柄時価総額上位100）企業のうち、オンラインでのビジネス保護について実施する診断についての情報開示を行っているのはわずか5社である。
-
暗号を民主化した男～64歳現役ハッカー15の未来予測
RSA暗号を開発した1人 アディ・シャミア博士の、将来15年間に起こるであろう暗号とサイバーセキュリティに関する15の予測をレポートします。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
長期休暇における対策を紹介、偽セキュリティソフトなどの相談事例も（IPA）
マインクラフトユーザーを狙ったマルウェア問題への対策を実施(Mojang)
Oracleが複数製品のクリティカルパッチアップデートを公開（JPCERT/CC、IPA）
「不正アクセスで支払い方法を変更された」ソフトバンク騙るフィッシング（フィッシング対策協議会）
「Drupal」の脆弱性を狙うアクセスの増加を確認（警察庁）
ECサイト構築システム「EC-CUBE」に任意の操作を実行される脆弱性（JVN）
インシデント・事故 記事一覧へ
豊洲市場都民見学会の当選者宛のメール38名分を誤送信(東京都中央卸売市場)
メール誤送信で49名のメールアドレスが漏えい(下関市)
「はるか夢の址」アップロード者3名を逮捕、昨年逮捕された9名と共謀（ACCS）
メールアカウントを不正メール送信に利用された件で、再発防止策を発表（GSX）
消費者啓発員へ依頼通知の際、38件の個人情報記載の名簿を誤同封（堺市）
内視鏡手術画像データ他126名の個人情報含む外付HD紛失（相模野病院）
調査・レポート・白書 記事一覧へ
2017年のDDoS攻撃、ビットコイン投資家増の韓国が標的に（CDNetworks）
子どものスマートフォン利用、16.2％は何らかのトラブルに遭遇(東京都)
WebサーバやCMSの脆弱性を悪用する、送信元を秘匿した攻撃が一時的に増加（ラック）
2017年に盗難・漏えいしたデータ数は前年比89％増加の26億件（ジェムアルト）
Spring Frameworkにおける、リモートOSコマンド実行の脆弱性を検証（NTTデータ先端技術）
54％のWebアプリ、32％のホストにMedium以上の脆弱性--診断レポート（ラック）
研修・セミナー・カンファレンス 記事一覧へ
サイバーインテリジェンス入門～マキナレコード軍司氏講演
初心者向けハッキングハンズオン研修が盛況
エンドポイントへのサイバー攻撃を実体験するハンズオンセミナー開催、ジャパンネット銀行 CSIRT リーダー岩本氏 基調講演
トップとビリで売上3倍差！セキュリティへの取り組みが命運を分けた Hardening 2017 Fes
過去10回の総括、そして未来を見据える「Hardening 2017 Fes」
![[配信予告] 情報漏えい事故後の謝罪記者会見ワークショップを取材しました 画像](/imgs/std_m/22971.jpg)
![[配信予告] あの方に今年の Black Hat USA 2017 の見どころを聞きました 画像](/imgs/std_m/22623.jpg)
![[配信予告] 新連載「Heart of Darknet - インターネット闇の奥」開始のおしらせ 画像](/imgs/std_m/22570.jpg)
![[配信予告] 新連載「ペネトレーションテスターは見た！」開始のおしらせ 画像](/imgs/std_m/21969.jpg)
