[harden-mac:0704] Immunity's report of Multiple Local Vulnerabilities in Mac OS X

["Kogule, Ryo" <kogule@xxxxxxxxxxxxxx>]

古暮でございます。

MacNN にて Immunity が公開した Mac OS X の脆弱性が報じられており，
内容を確認したのでお知らせしておきます。

MacNN: Darwin audit finds flaws that affect Mac OS X Panther
<http://www.macnn.com/news/27748>

Immunity: Resources - Advisories
<http://www.immunitysec.com/resources-advisories.shtml>

Multiple Local Vulnerabilities in Mac OS X
<http://www.immunitysec.com/downloads/nukido.pdf>

報告されている脆弱性は大きく分けて kernel に関して 3 点，at に関す
るものが 1 点です。

・searchfs() system call に関する kernel 内の脆弱性
・semop() system call に関する kernel 内の脆弱性
・BSD 由来の kernel code にある脆弱性
・at command の脆弱性

詳細は上記報告書を確認していただくとして，幾つか。

まず報告書では kernel に関する脆弱性は（Mac OS X 10.3.4 の kernel
である）xnu-517.7.7 にて確認したとありますが，最初の 2 点に関して
は最新の 10.3.7 の kernel，xnu-517.9.5 にも存在する事を確認しまし
た。また 4 点めの at の脆弱性も 10.3.7 で再現しています。

Kernel に関する最初の 3 点はどこまで悪用可能かは不明ながら，物が
kernel なだけに悪用された場合の被害は甚大でしょう。但し攻撃側もそれ
なりの exploit を準備する必要があるでしょうから，迅速に Apple から
update が提供される事を期待します。それまでは基本的には対処方法はな
さそうです。尤も攻撃側が local account を持っているか local な利用
者に exploit を実行させない限り，これらの脆弱性を突くのはかなり困難
かと思いますので，account 管理をしっかりやってあやしい program は実
行しないというのも間接的な対処にはなるでしょうか？
# マアこれは今回の問題に限らず常にやっておくべき事ですしょうけど

具体的な危険性としては 4 点めの方が大きいですね。Mac OS X は default
では /usr/libexec/atrun は動かないようになっていますが，この脆弱性
は atrun は関連しないので緩和要素にはなりません。当面の対処として考
えられるのは /usr/bin/at の suid を落とす事くらいでしょうか？　この
脆弱性も local で command を実行できる必要がありますから，上記の間
接的な対処方法もある程度有効でしょうけど。


--[PR]------------------------------------------------------------------
　　　　　　　　　★☆★　　「懸賞侍」見参！！　　★☆★
　　　　　　　侍ゲームで楽しく遊んで、豪華賞品を当てちゃおう！
　　　　　　　　　　　　この戦国懸賞時代を制するのは君だ！
　　　　　　　　　　さあ、バッサバッサと当ててしまえ！！！
　　　　　 http://www.kenshosamurai.com/regist.html?aid=frml041227
------------------------------------------------------------------[PR]--
■GMO GROUP■ Global Media Online  www.gmo.jp