中国当局がユーザーを特定するために使用したとされるAirDropの脆弱性について実は2019年の早い段階でAppleに警告したとセキュリティ研究者が主張
中国の取締当局は、iPhoneやMac同士で画像や動画などのファイルをやりとりできる機能「AirDrop」の暗号化を突破して、利用者の個人情報を特定することに成功したと発表しました。この暗号化突破を可能にした脆弱(ぜいじゃく)性はすでに2019年に発見されており、Appleの怠慢が中国当局による解析を可能にしたと指摘されています。 Attack of the week: Airdrop tracing – A Few Thoughts on Cryptographic Engineering https://blog.cryptographyengineering.com/2024/01/11/attack-of-the-week-airdrop-tracing/ Apple AirDrop leaks user data like a sieve. Chinese authorities
Chromeの深刻なバグ、Apple従業員が発見していたが報告せず - iPhone Mania
Googleが提供するWebブラウザ「Chrome」の脆弱性について、Appleの従業員が問題を認識していたにもかかわらず、何らかの理由で報告を見合わせていたことが分かりました。このバグはすでに修正されています。 ■3行で分かる、この記事のポイント 1. Chromeに重大な脆弱性が存在していた。 2. Appleの従業員が発見したが報告せず、代わりに別の人物が報告した。 3. バグはすでに対処済。 報奨金は別の人物が受け取った Googleの従業員が開発者向けのWebフォーラム（Chromium）で明かしたところによると、問題となったChromeのバグは、2022年に開催されたハッキング大会（HXP CTF 2022）にチームで参加していた、Appleのセキュリティエンジニアが発見したそうです。 しかし何らかの理由によって、COPYと名乗るこのチームは報告を見合わせていたことが判明しまし
「古いmacOS」を使うのは“自己責任”？ 専門家がAppleのパッチ配布姿勢に苦言
関連キーワード Apple | セキュリティ | 脆弱性対策 | パッチ MalwarebytesでAppleのクライアントデバイス「Mac」およびモバイルデバイス分野の担当ディレクターを務めるトーマス・リード氏の説明によれば、AppleがクライアントOS「macOS Big Sur」における脆弱（ぜいじゃく）性「CVE-2021-30869」を修正してから約7カ月間、同社は以前のバージョンである「macOS Catalina」の同脆弱性を修正しなかった。CVE-2021-30869は、AppleのクライアントOS「macOS」が採用するカーネル（OSの中核プログラム）「XNU」の脆弱性だ。 2021年4月開催のセキュリティカンファレンス「Zer0con」では、セキュリティ研究者がCVE-2021-30869を詳細に解説した。「それにもかかわらず、パッチは未配布のままだった」とリード氏は説
Apple、iOS15の脆弱性を修正も、発見者についての言及はなし - iPhone Mania
AppleはこのほどリリースしたiOS15.0.2において、深刻な脆弱性を修正しました。しかしリリースノートにおいて、発見者の氏名が記載されていないと当人が訴えています。 4つの脆弱性を報告もAppleはこれを無視 セキュリティ研究者のデニス・トカレフ氏（通称illusionofchaos）は、iOS14において4つの脆弱性を発見、Appleに報告しましたが、2021年7月にリリースされたiOS14.7でそのうちの1つが修正されたのみで、3つは放置されたままiOS15が公開されました。 トカレフ氏はAppleに繰り返しこの件について問い合わせたものの返答が得られなかったため、9月に自分のブログにおいて、自身が見つけた脆弱性の公開に踏み切ります。 複数のメディアがトカレフ氏のブログを取り上げ、話題になったためか、その後Appleから同氏に対し「調査中」との返答があったそうです。 トカレフ氏に
Appleの対応に不満噴出、反発した研究者が相次ぎゼロデイの脆弱性を公表
Appleの対応に不満噴出、反発した研究者が相次ぎゼロデイの脆弱性を公表：この頃、セキュリティ界隈で（1/2 ページ） 安全性とプライバシー重視の姿勢を強調するApple。ところがそのセキュリティ問題への対応を巡って研究者から不満の声が続出している。同社製品にゼロデイ（未知・未解決）の脆弱性を見つけて報告しても反応が鈍く、他社に比べて対応が悪すぎるというのだ。 セキュリティ研究者のillusionofchaosことデニス・トカレフ氏は9月24日のブログで、AppleのiOSに存在する4件の脆弱性に関する詳細を公表した。いずれもAppleのセキュリティバウンティプログラム（脆弱性情報に賞金を支払う制度）を通じて2021年3月10日～5月4日に報告した脆弱性だった。 ところがトカレフ氏によると、そのうち3件は最新バージョンのiOS 15.0でもまだ修正されないままだという。1件は14.7で修正
Appleが「iOS 15.0.1」でロック画面をバイパスできてしまう脆弱性を修正、しかしバグ報奨金を支払っていないとの指摘
現地時間の2021年10月1日、Appleが「iOS 15.0.1」をリリースしました。iOS 15.0.1では一部のバグ修正が行われたのですが、公式が言及していない別のバグもひっそり修正されており、このひっそりと修正されたバグはAppleのバグ報奨金プログラムに報告されたものの報奨金の支払いなどがないまま放置されていたものであると指摘されています。 iOS 15 のアップデートについて - Apple サポート (日本) https://support.apple.com/ja-jp/HT212788 Apple patched an iOS lock screen bypass without crediting its discovery | AppleInsider https://appleinsider.com/articles/21/10/01/apple-patched-a
「報告してもAppleが無視」と研究者が訴え〜iOS15に3つのゼロデイ脆弱性 - iPhone Mania
iOSにゼロデイ脆弱性が存在することをAppleに報告したにも関わらずAppleはそれを無視、iOS15にその脆弱性がいまだ修正されないまま存在するとして、セキュリティ研究者が自分のブログで訴えています。 4つ報告、3つは修正されないまま セキュリティ研究者のillusionofchaos氏によると、同氏はAppleのセキュリティ・バウンティ・プログラムに参加、2021年3月10日から5月4日の間に4つのゼロデイ脆弱性を発見し、Appleに報告しました。 そのうち1つはiOS14.7で修正されたものの、残り3つは最新のiOS15でも修正されないまま残っていると、illusionofchaos氏は述べています。 しかも同氏が発見、修正に至った事実がAppleのiOS14.7のセキュリティコンテンツページに掲載されなかったため、illusionofchaos氏はその件について苦情を申し立てまし
中国政府がコンテストで入賞した脆弱性を用いてiPhoneをハッキングしウイグル人用の監視ツールを開発していたことが明らかに
ハッキングコンテストに参加した中国人ホワイトハッカーが、ゼロデイ脆弱性を発見し、コンテストで入賞し賞金を獲得しました。通常、こういった脆弱性は開発企業に報告され、修正されたのちに公開されます。しかし、中国政府はこの脆弱性を応用したエクスプロイトを作成し、ウイグル人をスパイするための監視ツールを開発したと報じられました。 Report: China Turned Prize-Winning iPhone Hack into a Surveillance Tool Against Uyghur Muslims https://www.iphonehacks.com/2021/05/china-prize-winning-iphone-hack-uyghur-muslims.html iPhone hack used by China to spy on Uyghur Muslims - 9to
iPhoneのメールアプリの脆弱性を狙うゼロクリック攻撃についてまとめてみた - piyolog
2020年4月22日、iPhoneの標準メールアプリに脆弱性が発見され、さらに悪用した標的型攻撃が既に発生していたとして北米のサイバーセキュリティ企業ZecOpsが調査結果を公開しました。その後、AppleはZecOpsが報告した悪用の事実はないとして一部否定する見解を示しています。(4/26 追記)ここではこの脆弱性に関連する情報をまとめます。 何が見つかったの？ 影響を受けるiOSの標準メールアプリ iPhoneやiPadが影響を受ける脆弱性が報告された。脆弱性が確認されたのは標準のメールアプリ(Mobilemail/Maild)。 脆弱性悪用によりメール内容の流出や変更、削除が行われる恐れがある。また他の脆弱性を組み合わせた攻撃によりデバイスをのっとられる可能性がある。 4月23日時点でゼロデイ（修正方法がない）状態。13.4.5で修正見込み。（ZecOpsが13.4.5β版で修正確
iOSのセキュリティ上の脆弱性が中国でウイグル人の監視に使用されていた事実が判明 - iPhone Mania
2019年7月にiOS12.4の修正パッチがリリースされましたが、セキュリティ上の脆弱性のひとつであるWebKitのバグが2020年に入って悪用されていたことがサイバーセキュリティ企業Volexityの調査で明らかになりました。 ウイグル人関連サイトの訪問でエクスプロイトが発動 中国のウイグル人マイノリティ関連のWebサイトを訪れたときに起動されるこのエクスプロイトを、Volexityは「インソムニア（不眠症）」と名付けています。 攻撃者は、インソムニアを使ってデバイスのroot権限を取得することができ、メッセージクライアント、Eメール、写真、連絡先、GPS位置情報などからプレーンテキストを盗み取ることができます。 Volexityによれば、インソムニアは2020年1月〜3月に悪用されていたとのことで、中国政府が背後にいるとされるハッカーグループ「Evil Eye」がウイグル人マイノリティ
APFS暗号化パスワードが平文のままログに保存されてしまうバグはmacOS 10.13.4で修正されるも、install.logに保存されたパスワードはmacOS 10.14まで保存される可能性。
APFS暗号化ボリュームの作成に使用したパスワードが平文のままログに保存されてしまうバグはmacOS 10.13.4で修正されましたが、install.logに保存されたパスワードはmacOS 10.14まで保存される可能性があるので注意してください。詳細は以下から。 Appleが2017年09月にリリースした「macOS 10.13 High Sierra」にはディスクユーティリティに複数の不具合があり、昨年10月には「APFS暗号化ディスクを作る際に設定したパスワードが、パスワードのヒントして平文のまま表示される」不具合が確認されAppleが追加アップデートをリリースし、 昨月には「ディスクユーティリティでAPFS暗号化ボリュームを作成すると、利用したパスワードを平分のままログに保存してしまう」不具合が発見され、Appleはこの不具合を現地時間2018年03月29日にリリースした「ma
最新のmacOS 10.13.3 High SierraにもAPFS暗号化ボリューム作成に使用したパスワードがログに平文のまま保存されるバグが確認される。
最新のmacOS 10.13.3 High SierraにもAPFS暗号化ボリュームに作成したパスワードがログに平文のまま保存されるバグが確認されたそうです。詳細は以下から。 Appleが昨年10月にリリースした「macOS 10.13 High Sierra」にはディスクユーティリティに複数の不具合があり、「APFS暗号化ディスクを作る際に設定したパスワードが、パスワードのヒントして平文のまま表示」が確認され、先週には「ディスクユーティリティが利用している“newfs_apfs“コマンドがパスワードを平分のままログに保存してしまう」不具合が見つかりました。 先週、この不具合を検証した際は「macOS 10.13.2で修正された」と記事にしていましたが、本日、元MacUserマガジンのライターHoward Oakleyさんが検証したところ、現在最新のmacOS 10.13.3 High S
APFS暗号化ボリュームのパスワードが平文のままログに保存されてしまう不具合は「macOS 10.13.2 High Sierra」で修正されたもよう。
APFS暗号化ボリュームのパスワードが平文のままログに保存されてしまう不具合は「macOS 10.13.2 High Sierra」で修正された様です。詳細は以下から。 現地時間2018年03月21日にアメリカのセキュリティ研究者Sarah Edwardsさんによって確認された不具合は、「macOS 10.13.0 ~ 10.13.1までのHigh SierraでAPFS暗号化ボリュームを作成すると、そのパスワードが平文のまま残ってしまう」というもので、現在セキュリティ研究者やシステム管理者の方々が対応に追われているようですが、 I tried to recreate this scenario on my current system running 10.13.3 but was unable to do so therefore I believe this bug has been
不具合のあったmacOS 10.13 High SierraでAPFS暗号化ボリュームのパスワードが平文のままログに表示され残ってしまう不具合が発見され、研究者らが注意を呼びかけ。
ディスクユーティリティにパスワードが表示されるバグがあったmacOS 10.13 High Sierraに、APFS暗号化ボリュームのパスワードが平文のままログに残ってしまう不具合が発見され、セキュリティ研究者らが対応を求めています。詳細は以下から。 Appleが2017年10月にリリースした「macOS 10.13 High Sierra」はAppleの新しいファイルフォーマット「APFS」が採用され、それに伴いディスクユーティリティやコマンドラインツールがアップデートされましたが、このディスクユーティリティには「APFS暗号化ディスクを作る際に設定したパスワードが、パスワードのヒントして平文のまま表示される不具合」が確認され、Appleは急遽追加アップデートをリリースしました。 High Sierraのディスクユーティリティのヒント欄にAPFSの暗号化パスワードが平文で表示されてしまう
Apple、特定のテルグ語が入ったメッセージによりmacOS 10.13/iOS 11デバイスのアプリがクラッシュしてしまう問題に対し、アップデートをリリース予定。
Appleは特定のテルグ語が入ったメッセージによりmacOS 10.13/iOS 11デバイスのアプリがクラッシュしてしまう問題に対し、アップデートをリリースすると発表したそうです。詳細は以下から。 The Vergeなどは現地時間2018年02月15日、特定のテルグ語(Telugu)が入ったメッセージを受信するだけで、最新のmacOS 10.13.3/iOS 11.2.5/watchOS 4.2/tvOS 11.2.5デバイスのアプリをクラッシュさせ、その後アプリを起動できなくすることが出来る不具合が確認され、広まっているという記事を公開しましたが、 So, for example, though the bug is fixed in iOS 11.3 beta, Apple will push out an update to iOS 11.2.5, the current rele
macOS 10.13.2 High Sierraのシステム環境設定にパスワードが正しければユーザー名が無視され設定を変更できる不具合。
macOS 10.13.2 High Sierraのシステム環境設定にパスワードが正しければユーザー名が無視され設定を変更できる不具合があるそうです。詳細は以下から。 現地時間2018年01月08日、米Meredith Corporationのシステム管理者として働いているEric Holtamさんが「macOS 10.13.2 High Sierraのシステム環境設定のApp Storeパネルはパスワードを入力しなくてもロック解除できる」という不具合[1, 2]をOpen Radarで公開しましたが、再検証のためこのRadarを再確認したところ12日付けでThuzerlandさんという方が以下の様なコメントを追加していました。 Also there is another bug with these lock/unlock elements in macOS High Sierra 10
macOS High Sierra 10.13追加アップデートを適用後、GatekeeperやMRTのデータがダウングレードされる問題が確認される。
macOS High Sierra 10.13追加アップデートを適用後、GatekeeperやMRTのデータがダウングレード(古いデータに置き換わる)問題が確認されているそうです。詳細は以下から。 先日、アメリカのセキュリティ企業Digita Securityが「High Sierraのインストーラに古いXProtectのデータが同梱され、SierraからアップグレードしたMacで最新のXProtectを利用できない不具合」があるというレポートを出していましたが、 元MacUserマガジンのライターHoward Oakleyさんによると、Appleが現地時間2017年10月05日に公開した追加アップデートにも同様の問題があり、XProtectの他、悪意のある開発者が作成したアプリをブロックする「Gakekeeper」およびマルウェアを検出＆削除を行う「Malware Removal Too
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
Windows版iTunes/iCloudに脆弱性。アンインストール後も危険な場合も
TechCrunch
