セキュリティ上の欠陥が1500のiOSアプリに影響、AppleのOS X 10.10.3「ルートパイプ」修正は不完全であることが判明[更新]

ここ数日間、2 つのセキュリティ上の欠陥に関する報告がいくつか蓄積されています。1 つは約 1500 の iOS アプリに影響し、もう 1 つは Apple が OS X 10.10.3 の脆弱性にパッチを当てようとしたにもかかわらず、OS X ユーザーに影響します。

Ars Technica によると、最初のセキュリティ上の欠陥は、約 1500 個の iPhone および iPad アプリがハッカーに対して脆弱になっており、ハッカーはその脆弱性を悪用してパスワード、銀行口座情報、およびその他の少数の機密情報を盗む可能性があるとのことです。この「中間者」攻撃はセキュリティ分析会社 SourceDNA によって先月発見され、脆弱性を抱えていたオープンソース コードである AFNetworking の 2.5.2 アップデートで修正されました。

残念ながら、一部の開発者はまだコードの最新バージョンに更新しておらず、これらの 1500 個のアプリはオープンなままであり、攻撃に対して脆弱です。これにより、「HTTPS で暗号化されたデータが復号化される可能性があり」、基本的に誰でも偽の Wi-Fi ホットスポットを生成してインターネットにアクセスできるようになります。同じ Wi-Fi 接続上のユーザーのデータ。その結果、SourceDNA は App Store 上のほとんどのアプリのセキュリティ上の欠陥 をスキャンして分析し 、特定のアプリが危険にさらされているかどうかを検出する 検索ツール も作成しました。

この欠陥が発表されパッチが適用された日に、SourceDNA で簡単に検索したところ、(AFNetworking を使用する 10 万個のアプリのうち) 約 20,000 個の iOS アプリが両方とも AFNetworking ライブラリを含み、欠陥のあるコードがコミットされた後に更新または App Store でリリースされたことがわかりました。次に、私たちのシステムは差分署名を持つそれらのアプリをスキャンして、どのアプリに実際に脆弱なコードが含まれているかを確認しました。

結果？ 55% は古いが安全な 2.5.0 コードを使用しており、40% は SSL API を提供するライブラリの部分を使用しておらず、5% または約 1,000 個のアプリに欠陥がありました。これらのアプリは重要ですか?これらをランク データと比較したところ、Yahoo!、Microsoft、Uber、Citrix などの大手プレーヤーがいくつか見つかりました。わずか 6 週間の間にセキュリティ上の欠陥が導入されたオープンソース ライブラリが数百万のユーザーを攻撃にさらしたことには驚きます。

現在、中間者攻撃に対して脆弱であることが知られているアプリには、 Citrix OpenVoice Audio Conferencing [ Direct Link ]、 Alibaba のモバイル アプリ [ Direct Link ]、さらには Flixster with Rotten Tomatoes の Movies [ Direct Link ] などがあります。 SourceDNAはユーザーに対し、自社の 検索ツール でよく使うアプリにセキュリティ上の欠陥がないかチェックするよう促し、修正されたアプリは削除し、脆弱性が見つかったアプリは時間の経過とともに追加すると約束している。

「Rootpipe」と呼ばれるもう 1 つの欠陥は 2011 年に遡り、以前から知られていました。 Apple は今月初めに OS X 10.10.3 のルートパイプの脆弱性にパッチを当てる予定でしたが、古いバージョンの OS X には脆弱なままでした。しかし、 Forbes が報じたように、元 NSA 職員の Patrick Wardle 氏は 、OS X 10.10.3 およびそれより古いバージョンを実行している Mac にもこの欠陥が依然として存在していることを発見しました。

Apple は攻撃を阻止するために追加のアクセス制御を導入しましたが、ウォードル氏のコードは依然として脆弱なサービスに接続し、Mac 上のファイルの上書きを開始することができました。 「今日（午後）に Apple ストアに行って、ディスプレイ モデルで試してみたかったのですが、私は自分の個人用ラップトップ (完全にアップデート/パッチ適用済み) と OS X 10.10.3 [仮想] でテストすることにしました。機械]。どちらも魔法のように機能した、とワードル氏は電子メールで FORBES に語った。同氏はブログ投稿の中で、自身の悪用は「斬新だが、ローカルユーザーにとってルートパイプを再悪用する簡単な方法」だと述べた。

昨年 10 月に発見された Rootpipe の脆弱性は、基本的に特定のシステム上に隠されたバックドアを作成することを可能にし、ハッカーがデバイス上のローカル権限を取得した後、コンピュータの root アクセスを公開します。この脆弱性を悪用するには、ターゲット マシンへの物理的アクセス、または以前に許可されたリモート アクセスが必要です。

つい最近、Apple は自社システムの「 FREAK 」セキュリティ欠陥に直面し、Apple TV から iPod touch まであらゆるものが盗まれた機密情報に対して脆弱になってしまいました。同社はセキュリティ上の欠陥が発見されてから数週間で、すべてのプラットフォームに対していくつかの セキュリティ アップデート を発行し、セキュリティを強化し、世間の懸念を和らげようと努めた。中間者 iOS と再出現している Rootpipe の欠陥に関して、同社はまだコメントを出していない。

更新 : Alamofire Software Foundation は、AFNetworking 問題に関する論争に対する 回答を投稿し 、アプリが脆弱なバージョンの AFNetworking を使用していたとしても、次の条件を満たす限り攻撃の影響を受けにくいと述べ、影響を受けるアプリの数に関する SourceDNA の主張に反論しました。通信は SSL ピンニングを使用して HTTPS 経由で処理されます。

アプリが HTTPS 経由で通信し、SSL ピンニングを有効にしている場合、報告されている MitM 攻撃に対して脆弱ではありません

AFNetworking を使用するアプリの大部分は、SSL 証明書または公開キーの固定を有効にするという推奨手順を実行しました。これらのアプリケーションは、報告されている MitM 攻撃に対して脆弱ではありません。

Alamofire の Mattt Thompson 氏は に対し、中間者攻撃を開始しようとしない限り、アプリが脆弱かどうかを判断する方法はありませんが、SourceDNA はそれを実行しませんでした。いずれにしても、アプリで AFNetworking を使用しているすべての開発者は、直ちにバージョン 2.5.3 に更新する必要があります。