【IT】グーグル(Google)、Appleの「Mac OS X」に存在する3件のゼロデイ脆弱性を公表 [15/01/26]©2ch.net

グーグル、「OS X」に存在する3件のゼロデイ脆弱性を公表
【CNET Japan】 2015/01/26 11:14

ゼロデイ脆弱性の撲滅に取り組むGoogleの「Project Zero」チームは、Appleの「Mac OS X」に発見していた
3件の深刻なゼロデイ脆弱性に関する情報を、概念実証コードとともに公表した。同チームでは、製造元に
脆弱性を報告後、対策が取られないまま90日が経過した場合は脆弱性に関する情報を自動的に一般公開するとの
ポリシーを採用しており、今回の脆弱性もそのポリシーに従って公表された。

Project Zeroチームが未修正の脆弱性を公表するのは、今回が初めてではない。最近の例で言えば、同チームは
Microsoft Windowsに発見されていた3件の未修正の脆弱性に関する情報を公表している。

今回公表された脆弱性は、
「OS X networkd"effective_audit_token"XPC type confusion sandbox escape(networkdによる
effective_audit_tokenのXPCタイプ誤認識を通じたサンドボックス回避)」、
「OS X IOKit kernel code execution due to NULL pointer dereference in IntelAccelerator
(IntelAccelerator内のNULLポインタ逆参照を通じたIOKitカーネルコード実行)」、
「OS X IOKit kernel memory corruption due to bad bzero in IOBluetoothDevice
(IOBluetoothDevice内の不正なbzeroによるIOKitカーネルメモリ破壊)」の3件。
攻撃者はこれらの脆弱性を悪用して、標的のMac内で特権を昇格させ、システムを乗っ取ることができる。

なお、Apple公式サイトの「Apple製品のセキュリティ」ページでは、「Appleでは、ユーザ保護の観点から、
徹底的な調査が完了して必要なパッチやリリースが利用可能になるまでは、セキュリティ上の問題を公開、
説明、または是認いたしません。通常、Apple製品のセキュリティの問題に関する情報は本サイトと下記の
メーリングリストにて通知されます」と説明されている。

ソース: http://japan.cnet.com/news/service/35059465/

プレスリリース:
OS X networkd "effective_audit_token" XPC type confusion sandbox escape (with exploit)
http://code.google.com/p/google-security-research/issues/detail?id=130&q=label%3AVendor-Apple
OS X IOKit kernel code execution due to NULL pointer dereference in IntelAccelerator
http://code.google.com/p/google-security-research/issues/detail?id=135&q=label%3AVendor-Apple
OS X IOKit kernel memory corruption due to bad bzero in IOBluetoothDevice
http://code.google.com/p/google-security-research/issues/detail?id=136&q=label%3AVendor-Apple

関連スレッド:
【IT】グーグル(Google)、Windows脆弱性をまた公開--ここ1週間で2度目 [15/01/16]
http://daily.2ch.net/test/read.cgi/newsplus/1421395950/

http://i.imgur.com/fLX9NQ9.jpg

欠陥OS
つかユーザー少ないから大した問題にならねーだろｗ

マイクソソフトみたいに文句たれるん？

パソコンと違ってウィルス対策は不要なんです！w

要するにchrome OSのライバルへのネガキャン

自社のandroidのwebkit脆弱性は修正しないと抜かした口で、
他社の脆弱性は堂々と指摘かｗｗｗｗ

全方位テロワロタwww

自分とこのOSは更新せずに切り上げ放置(笑)

10.4-10.6あたりでリリースサイクルを長くして安定したのに
10.7からまた短期でメジャーアップデートを繰り返して品質が下降の一途をたどってる

ネガキャンといっても半脆弱性は実際に存在してるんやろ

泥仕合かよｗｗｗ

自分のところはサポートぶん投げるクセにひでぇなぁ

ゴミ林檎厨発狂脱糞！！！

>>3で終わってた

10.68で安定w

>>5
オイオイ

ぬるぽ

>>7
グーグル＆マイクロソフトのサポート切れるよ！バグあるよ！ヘイヘイ！ってヘイトスピーチで
カネだすんは家電メーカーになるんかな。ユーザは買うた製品は家電やから１０年保証やろ
ビタ一文ださへんでーモード。ぼちぼち国産Linuxディストリビューションとか考えたらえのに

いや、でもこのチームいろいろな意味で凄いよなｗ
かなり深い所まで理解してないと、こういうのは見つけれないよ。スーパーハカーチームだなｗ
３なんて、結構深刻だよねｗ

ところで、なんでGoogleにいるんだろう？ｗ

ただのテロだな。

>>20
発見者に金払ってるんじゃなかったっけ？

特殊な使い方をしないと、その問題は発動しないんじゃなかったっけ？

ノーガードで殴り合いｗ

アンドロイドどうすんだよ。

>>18
ガッ

互いに指摘しあうのは良いんじゃないかね。利益に直結するのか分からんけども

chromebookを売りたいための戦略だろ
うちのosのほうが安全ですみたいな情報操作

>>26
対策されないうちに実証コードが公開されるのはまずいよ

この公開技術を利用したソフトウェアを作ったら犯罪になりますか

>>28
そうなのか。
つまり今やってることは品質の向上という名の足の引っ張りあいなのか

10.411使ってて昨日つながらなくなったのこれ？疎くて専門用語がよくわからんのだが10.6以上にしなきゃだめってことなん

>31
もう10.7のサポートも終わったよ
10.10 Yosemite無償アップグレードには10.6.8以降が必要

Google極悪な会社だな。

自社のWebViewの攻撃コードも晒さないとｗ

>>32
そか、ありがとう！まずAmazonあたりでさがさにゃいけないか・・・

ネガキャン乙としか…
それにしても性格悪いなあ

Appleにセキュリティホールを指摘して無視された奴が、
ネットで公開して逮捕された事があったような…

実証コードの公開にはもう少し猶予与えてもいい気がする

>35
ヤフオクやAmazonマケプレに頼るのは止めろ、絶対にやめろ。
板違いだがApple Storeにフリーダイアルかサポートフォームで問い合わせるんだ。
メニューバーの林檎マークから「このMacについて」→「詳しい情報」を開くと表示される型番を控えるのを忘れるなよ。
http://www.apple.com/jp/support/contact/

>39つづき
手元のマシンがOS 10.6.8および10.10の動作環境を満たしていれば、正規価格（二千円以下・送料無料）で
Mac OS X 10.6 Snow Leopard 正規インストールメディアを発送してくれる。
OS X Yosemite動作環境および移行手続き
https://www.apple.com/jp/osx/how-to-upgrade/
OS X 10.6動作環境
http://support.apple.com/ja-jp/HT4949

そんなことしてる暇あるならアンドロイド何とかしろよｗ

>>39ありがとう！参考になるよ

バックドア塞いじゃうとNSAに怒られるから対応するわけないわなｗ

>>1
ガッ

>>6
Googleの嫌がらせ半端ないよね、でGoogleは自分とこの欠陥も発表すんのかねｗ

OS無料にした最近のアップル
不具合満載のバージョンアップ　→　一部不具合を直してマイナーアップデート
→　新バージョンを出して放置　→　サポート終了

>>46
同じことをWindowsも10で始めようとしているわけだが？

Android4.3まで切り捨てるんだっけ？Googleのほうが鬼畜やろ

>>45
発表しないでこっそり直す

OS間の泥試合の様相

>>1
Google、マイクロソフトの次はappleを攻撃ｗ
わかりやすいなこいつら

来年くらいからはマイクロソフトとappleが集中的にGoogle攻撃するぞ

つい最近、現在も数億台稼働しているバージョンのAndroidについてサポートを撃ち切ったのってどこの会社だったっけ？
ゼロデイどころかエブリデイ脆弱性を放置する宣言しといてこれか。

>>52
OSをアップデートすれば済む話だろ。それを阻害してるのはキャリア。

>>45
お前がgoogleの脆弱性を見つけてやればいい

>>52
マイクロソフトやアップルだって古いハードに対してはサポートを切り捨ててるわけだが？

Android4.3って2013年7月発表だろ
切り捨てるの早すぎだわ

>>1
【奴隷】自殺でお馴染みApple工場の超劣悪労働環境12時間労働18日連続勤務【地獄】

http://www.afpbb.com/articles/-/3034734
従業員が疲労のあまり仕事中に居眠りをするほどの劣悪な条件で働かされている。

週60時間以上18日連続勤務を強いられた。

2010年に従業員が相次いで自殺したアップルが約束した労働環境改善の誓約が「日常的に破られている」

ハッカー「俺らが先に見つけてた脆弱性を公表するなよヽ(｀Д´#)ﾉ、
いま、それ利用してウイルス開発中だったのに」

>>29
ttp://www.moj.go.jp/content/000076666.pdf

バグ放置酷すぎ
デバックしてないよな
信者の仕事だと思ってるよ あいつら

>>57
Appleだけじゃなくて、日本の企業も同じメーカーに生産委託してるけどな。
筋違いの話はブーメランになるだけ。

Googleが概要の公表だけで、概念実証コードを示さないと…
公表してから修正までの間に、その脆弱性を利用した攻撃が発生した場合、
Googleの仕業と疑われかねない。

実証コードを持っているのはGoogleだけなんだから、
Googleがウイルスを作ったに違いない、などと言われかねない。

ティム・コック

>>56
xp 10年以上,
泥4.3 1年半www

まあ泥の場合はブラウザサポート打ち切りなだけで、他のブラウザ使うという回避策はあるが、
せめて移行ツールぐらいつくれよw

>>1
これを発表してるのが、こいつら

【IT】グーグル(Google)、Appleの「Mac OS X」に存在する3件のゼロデイ脆弱性を公表 [15/01/26]©2ch.net
http://daily.2ch.net/test/read.cgi/newsplus/1422242775/

たぶん、ちょっと前のIEの脆弱性で騒いでたのもGoogle
奴らは完全に敵を潰しにかかってる

誤爆した

>>3
ＢＳＤだから、世界中でサーバーに使われてないか？

これを利用していろいろやってましたってことですね？

Googleに個人情報抜かれる方が、よっぽど危険じゃね？

嫌がらせとかいうけどさ
脆弱性を放置してる方がよっぽどユーザに対して嫌がらせだろ

自社の脆弱性放置にはﾀﾞﾝﾏﾘ
Googleはシェアが高いぶん脆弱性放置のIoTは今後、大問題になると思うぜ

10.4だが、特に不満は無い。

ググルは自分のAndroidの脆弱性を直せよw

学校や企業での利用ならセキュリティ上ChromeOS一択
ググる先生の狙いはそこか

>>51
というかMSもAppleも90日超えてもなんもリアクションしなかったから
Googleが基準に従って発表しただけ