マイクロソフト、Mac版Safariに重大なセキュリティ欠陥を発見

Bluesky ページを見る (新しいタブで開きます)
Instagramページを見る（新しいタブで開きます）
Facebookページで見る（新しいタブで開きます）
YouTubeページを見る（新しいタブで開きます）
Twitterページを見る（新しいタブで開きます）

コピーしました

ハッカーがあなたのウェブカメラ、マイク、位置情報にアクセスする可能性があります。

2024年10月21日

MacBook OSアップデート

クレジット: Aayan Arts/Shutterstock

Appleは先月、macOS Sequoiaをリリースし、ウィンドウスナップやMacからiPhoneを操作する機能といった新機能を追加しました。しかし、表面的な変更点に加え、このアップデートではセキュリティ上の脆弱性に対するパッチが多数導入されました。これらの脆弱性の1つは、なんとMicrosoftによって発見されたもので、組織内で利用されているMacにとって非常に懸念される問題となっています。

SafariのTCCの欠陥の仕組み

マイクロソフトは、9月16日にmacOS Sequoiaがリリースされてから約1か月後の10月17日、ブログ記事で調査結果を公表しました。同社はこの脆弱性を「HM Surf」と呼んでいます。これはポケモンシリーズに登場する技にちなんで名付けられており、この脆弱性により、悪意のあるユーザーがSafari向けのAppleの透明性、同意、制御プラットフォームを回避できることを発見しました。TCCは通常、適切な許可を得ていないアプリが位置情報、カメラ、マイクなどのサービスにアクセスできないようにします。これは、プライバシーを悪用しようとするアプリからプライバシーを保護するために不可欠です。

しかし、Appleは自社アプリの一部に、TCCの審査を回避できる権限を与えています。結局のところ、Appleのアプリなので、悪意のあるものではないとAppleは認識しています。Safariの場合、Microsoftは、このアプリがTCCの審査を通過せずに、Macのアドレス帳、カメラ、マイクなどのサービスにアクセスできることを発見しました。

あなたも気に入るかもしれない

とはいえ、Safari を複数のウェブサイトで使用している場合、TCC チェックが行われます。これは、ページを読み込む際に、カメラなどの情報へのアクセスを許可するかどうかを尋ねるポップアップが表示されるときに発生します。ウェブサイトごとの TCC 設定は、Mac の ~/Library/Safari 内のディレクトリに保存されます。

ここでエクスプロイトの出番です。Microsoftは、このディレクトリを別の場所に変更することでTCCの保護を解除できることを発見しました。その後、実際のホームディレクトリにある機密ファイルを変更し、ディレクトリを元に戻せば、Safariは変更されたファイルからデータを取得するようになります。おめでとうございます！これでTCCの保護を回避し、MacのWebカメラで写真を撮影したり、マシンの位置情報にアクセスしたりできるようになりました。

Microsoftによると、この状況から悪意のある人物が実行できる可能性のあるアクションはいくつかあるとのことです。例えば、ウェブカメラの画像を後でアクセスできる場所に保存する、ウェブカメラからの動画を録画する、マイクからの音声を外部ソースにストリーミングする、Safariを小さなウィンドウで実行してその動作に気づかせない、といったことが挙げられます。重要なのは、サードパーティ製ブラウザはAppleのTCC要件に対応する必要があり、Safariにはそれらを回避するための権限がないため、今回の攻撃の影響を受けないということです。

マイクロソフトは調査の中で、この脆弱性が悪用された可能性を示唆する不審な活動を発見したが、確実なことは言えない。

この脆弱性はMDM管理されたMacにのみ影響します

Microsoftのレポートを読んだ後、Safariを通じて悪意のある人物がMacを覗き見する可能性を心配されるかもしれません。しかし、ここで明確にされていないのは、この脆弱性はMDM管理のMac、つまり中央ITサービスによって管理されている組織に属するMacにのみ影響するということです。これには、職場から支給されたMacや学校のコンピュータも含まれます。

これまでのところどう思いますか?

Apple は、macOS Sequoia のセキュリティノートで、プライバシーとセキュリティへの影響を考慮したかなり短いエントリで、そのことを認めています。

Appleのセキュリティノート

クレジット: Apple

もちろん、この脆弱性は依然として深刻ですが、影響範囲ははるかに限定的です。個人用MacのSafariでハッカーがWebカメラ、マイク、位置情報にアクセスできるようになることを心配する必要はありません。しかし、職場や学校から支給され、MDMで管理されているMacをお持ちの場合は、懸念事項となるため、できるだけ早くアップデートをインストールする必要があります。

MDM管理されたMacの欠陥を修正する

この欠陥は、次の Mac に影響します: Mac Studio (2022 以降)、iMac (2019 以降)、Mac Pro (2019 以降)、Mac Mini (2018 以降)、MacBook Air (2020 以降)、MacBook Pro (2018 以降)、iMac Pro (2017 以降)。

対象機種であれば、組織からすでにMac向けのアップデートが提供されている可能性があります。ただし、macOS Sequoiaがインストールされていない場合は、会社または学校のIT部門に問い合わせて、アップデートがいつ提供されるかご確認ください。

ダウンロードニュースレター技術ニュースを見逃さない

ジェイク・ピーターソンのポートレートジェイク・ピーターソンシニア技術編集者