 |
 |
記事検索 |
最新ニュース |
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
Mac OS Xの脆弱性でファイルタイプを偽装される恐れ、「Mail」にも影響 |
||||||||
|
||||||||
|
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
||||||||
|
細工を施したZIPアーカイブファイルによって「Safari」ブラウザで自動的にシェルスクリプトを実行させたり、画像などのファイルを装ってユーザーに開かせることが可能な脆弱性がMac OS Xに見つかったが、米SANS Instituteは21日、脆弱性が当初考えていたよりも危険であることがわかったとして再警告した。「攻撃者はZIPアーカイブを送る必要さえない。シェルスクリプト自体、ほとんど何にでも偽装できる」という。 独ニュースサイトの「heise online」が21日、今回の脆弱性がMac OS X用のメールソフト「Mail」にも影響するという記事を掲載。これを受けてSANSが「Handler's Diary」に掲載していた情報を更新した。 heise onlineによると、スクリプトファイルの拡張子に「jpg」と付ける一方で、これを開くアプリケーションとして「Terminal」を指定することが可能だという。さらに、これをAppleDouble（MIME）でエンコードして添付ファイルとして送信することで、受信者側のシステムにもこの設定を反映させられるとしている。その結果、Mailには添付ファイルがJPGファイルのアイコンで表示される一方で、画像ファイルだと思ってクリックしてしまうと、ユーザーへの確認なしにスクリプトが実行される。 SANSによると、「Thunderbird」では自動的にスクリプトが実行されることはないとしており、脆弱性が修正されるまでThunderbirdを使うのも賢い方法だとしている。一方、Mailを使用する場合は、Mail上から添付ファイルを開かず、いったん保存してからFinderでファイルタイプを確認するよう推奨している。 関連情報 ■URL SANS InstituteのHandler's Diary（英文） http://isc.sans.org/diary.php?storyid=1138 ■関連記事 ・ Mac OS XのZIP処理に深刻な脆弱性、Safariではスクリプトが自動実行（2006/02/21）
（ 永沢 茂 ）
- ページの先頭へ-
|
