macOS における Disk Arbitration デーモンでの競合状態制御不備により権限が昇格可能となる脆弱性（Scan Tech Report）
Apple 社の macOS に、競合状態の制御不備を悪用して管理者権限が奪取可能となる脆弱性が報告されています。
脆弱性と脅威
エクスプロイト
Apple 社の macOS に、競合状態の制御不備を悪用して管理者権限が奪取可能となる脆弱性が報告されています。攻撃者が侵入、またはマルウェアが感染した場合、端末の全権を奪取する目的で当該脆弱性を悪用される可能性があります。macOS の利用者は当該脆弱性に対する影響を確認し、OS のアップデートにより脆弱性に対策することを推奨します。
----------------------------------------------------------------------
◆分析者コメント
公開されているエクスプロイトコードを用いて検証を実施した結果、現行バージョンである Sierra よりも 2 つ前のメジャーバージョンである Yosemiteまでは、当該脆弱性の影響を受けることを確認しています。マルウェアが感染端末の全権を掌握するために当該脆弱性の悪用を試行する可能性が高いと考えられます。近年は macOS を対象としたマルウェアの報告も目立つため、アップデートにより対策することを推奨します。
----------------------------------------------------------------------
◆深刻度(CVSS)
[CVSS v2]
7.6
https://nvd.nist.gov/vuln-metrics/cvss/v2-calculator?name=CVE-2017-2533&vector=(AV:N/AC:H/Au:N/C:C/I:C/A:C))
[CVSS v3]
7.0
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2017-2533&vector=AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
----------------------------------------------------------------------
◆影響を受けるソフトウェア
macOS 10.12.5 未満の macOS が当該脆弱性の影響を受けると報告されています。検証の結果、以下のバージョンの macOS で、当該脆弱性を悪用した権限昇格に成功することを確認しています。古い OS がどこまで影響を受けるかは報告されていません。
・macOS 10.12, BuildVersion 16A323 (Sierra)
・macOS 10.11.6, BuildVersion 15G31 (El Capitan)
・macOS 10.11.1, BuildVersion 15B42 (El Capitan)
・macOS 10.10.1, BuildVersion 14B25 (Yosemite)
----------------------------------------------------------------------
◆解説
Apple 社の macOS に、競合状態の制御不備を悪用して管理者権限が奪取可能となる脆弱性が報告されています。
ソース・関連リンク
関連記事
Scan PREMIUM 会員限定記事
もっと見る-
国際コロナ前のデータで訓練された機械学習モデル、現在完全に破綻
ガートナー社によると、新型コロナのパンデミック以前にビジネスを行うために構築された機械学習モデルは、経済がロックダウンから立ち直るにつれもはや有効ではなくなり、企業は機械学習と企業データ管理において新たな課題に直面することになるという。
-
上野編集長就任１０周年記念オンライン飲み会 ７月１７日開催（ScanNetSecurity）
ScanNetSecurity編集部は7月17日、同誌編集長上野宣の編集長就任10周年記念オンライン飲み会を開催する。7月13日(月)までWebフォームで参加申込を受け付けている。
-
LinuxKI の kivis.php における OS コマンドインジェクションの脆弱性（Scan Tech Report）
2020 年 5 月に、Hewlett Packard 社の OSS である LinuxKI に遠隔コード実行につながる脆弱性が報告されています。
-
ニューヨーク市議会が「警察の監視テクノロジー」を監視する法案を圧倒的多数で可決
ニューヨーク市議会は圧倒的多数の賛成で警察に監視テクノロジーの使用報告を義務づける法案を可決した。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
フィッシングは増加傾向、スマホのみを狙うケースも確認（フィッシング対策協議会）
LinuxKI の kivis.php における OS コマンドインジェクションの脆弱性（Scan Tech Report）
クラウド侵害の半数近くがホストアプリを経由（日本IBM）
サイボウズ「Garoon」に複数の脆弱性（JVN）
国税庁「e-Tax受付システムAP」にコマンド実行の脆弱性（JVN）
復号代金だけでなくデータ漏えいでも脅迫「暴露型ランサムウェア」の手口と対応例（マクニカネットワークス）
インシデント・事故 記事一覧へ
新たにBYOD端末からの不正アクセスが判明（NTT Com）
生かき販売「かきのクニヒロ」に不正アクセス、約1年分のカード決済情報が流出（クニヒロ）
「道具屋さん本店」に不正アクセス、約5ヶ月分のカード決済情報が流出（エース産業機器）
LINEプロフィール画像改ざん事件、脆弱性検証から逸脱した行為と判断（LINE）
ABEイニシアティブポータルサイト、サイト開設時から４４回の不正アクセスが新たに判明（JICE）
海外グループ会社メールアカウントに不正アクセス、迷惑メール送信（古野電気）
調査・レポート・白書 記事一覧へ
金融機関でのセキュリティ対策やシステム障害など3つのレポートを公開（金融庁）
家庭内で安全快適に在宅勤務を行うためのリファレンスガイドの公開について（ICT-ISAC）
マルウェアの3分の2が暗号化、四半期レポート（ウォッチガード）
新型コロナ関連攻撃の約8割がフィッシング--四半期動向（NTTデータ）
サイバーパンフレット サイバー攻撃の現状 2020（公安調査庁）
外交や安全保障、経済政策などの組織や人物に標的型攻撃--J-CRATレポート（IPA）
研修・セミナー・カンファレンス 記事一覧へ
製品レビュー：北朝鮮 国産アンチウイルスソフト４種
CODE BLUE 2020、参加費無料でオンライン開催（CODE BLUE 実行委員会）
ネットを楽しく利用するための注意点をテーマに動画コンテスト開催（トレンドマイクロ）
ひとつのエージェントで多機能を実現、解説セミナー（CrowdStrike）
募集開始2時間で満席になった人気フォレンジック勉強会、第2回開催（イエラエセキュリティ）
![[鋭意準備中] ScanNetSecurity に夏を告げる紳士を取材しました ～ Black Hat USA 2019 の見どころ 画像](/imgs/std_m/28068.jpg)
