Oligur

• ニュース

Apple の強固なサプライチェーンでは、すでにハッキングされた新しい Mac が大量生産されている可能性がある。

新品の Mac を購入するということは、通常、最も新しく、可能な限りバグのないシステムを入手することを意味しますが、セキュリティ研究者は、新品の Mac の電源を入れる前にハッキングする方法があることを発見しました。

この攻撃は、Appleのデバイス登録プログラム（.pdf）とモバイルデバイス管理プラットフォームを使用している企業向けMacを悪用します。これらの企業向けツールは、Appleから直接従業員に出荷されたMacを完全にカスタマイズすることを可能にします。しかし、このシステムに存在する脆弱性を悪用することで、攻撃者はリモートからMacにマルウェアを仕掛けることが可能です。

企業向けMacのハッキング

Mac管理会社Fleetsmithの最高セキュリティ責任者ジェシー・エンダール氏とDropboxのスタッフエンジニアマックス・ベランジェ氏は、本日ラスベガスで開催されるBlack HatセキュリティカンファレンスでMacのセキュリティ欠陥を実演する予定だ。

「ユーザーが初めてログインする前に、デバイスに侵入して悪意のあるソフトウェアをインストールできるバグを発見しました」とエンダール氏は語る。「ユーザーがログインしてデスクトップが表示される頃には、コンピューターはすでに侵入されているのです。」

エンダール氏とベランジェ氏は、企業向けMacがMDMを使用してMac App Storeからインストールするアプリを確認する際に、マニフェストの真正性を検証するための証明書ピン留めが行われていないことを発見しました。ハッカーは中間者攻撃の脆弱性を悪用し、悪意のあるアプリをインストールしてデータにアクセスする可能性があります。さらに悪いことに、この脆弱性は企業全体のコンピュータをハッキングするために利用される可能性があります。

研究者らは、これらの問題についてAppleに報告したと述べています。AppleはmacOS High Sierra 10.13.6でこの脆弱性を修正しましたが、古いバージョンのmacOSを搭載したデバイスは脆弱性を抱えている可能性があります。