トップ
ビジネス
- インダストリトピック
- 金融
- 製造
- 公共
- 小売
- 物流
- 通信
- ネットビジネス
- マネジメントトピック
- 財務
- 人事
- マネジメント
- キャリア・転職
- メンタルヘルス
- ビジネストピック
- ユーザー事例
- 業界動向
- 英語
- 資格・学習
テクノロジー
- テクノロジートレンド
- セキュリティ
- ガバナンス・運用管理
- Notesの次を考える
- ソーシャルテクノロジ
- 経営が知るべきバズワード
- 新しいOSの選択肢
- これはひどい！ITの話
- デベロッパー
- builder by ZDNet Japan
ホワイトペーパー
製品
用語
企業動向
- ビジネスリソース
- プレスリリース
- イベント情報
- 企業情報センター
リファレンス
ダッシュボード
- インフォメーション
- ZDNet Japanのイベント
- サイトマップ

アップルのDNS脆弱性修正パッチにセキュリティ専門家から非難の声

セキュリティ専門家によると、アップルが「Mac OS X」向けに発行したDomain Name System（DNS）の脆弱性を修正するパッチは完全ではないという。

文：Tom Espiner（ZDNet UK）
翻訳校正：編集部 2008年8月5日 17時05分

記事の評価

　セキュリティ専門家によると、Appleが「Mac OS X」向けに発行したDomain Name System（DNS）の脆弱性を修正するパッチは完全ではないという。

　Appleは現地時間8月1日、「Mac OS X Tiger」「同Leopard」向けに深刻なDNS脆弱性に対応するパッチをリリースした。この脆弱性が悪用されると、悪意あるサイトにリダイレクトするようブラウザを操作できてきしまう。最初にセキュリティ研究者のDan Kaminsky氏が報告したもので、複数のベンダーのソフトウェアに影響する。

　だが、セキュリティベンダーのnCircleによると、AppleのパッチはOS X搭載サーバの脆弱性には対応するが、OS Xのクライアントライブラリには未対応で、ソースポートをランダム化できないと報告している。

　「現時点では、DNSキャッシュポイズニングに対する対応策は、クエリIDとソースポートのランダム化をすることでエントロピーを増大させるというものだ。本質的にはDNSレスポンスのスプーフィングを難しくする手法といえる」とnCircleのセキュリティ執行担当ディレクター、Andrew Storms氏はブログに書いている。「だが、Appleはなにかを忘れているようだ――OS X 10.4.1システム上のクライアントライブラリは、パッチインストール後もソースポートをランダム化できないのだ」

　今回のパッチはOS Xサーバには有効だが、「利用中のOS X搭載再帰サーバは少ない」ことから、Appleにとってより重要なのは、クライアントライブラリにパッチをあてることだ、とStorms氏は8月1日付けのブログで記している。

　「重要なことは、今回のアップデートの後でも、クライアントライブラリの脆弱性が未修正のままという点だ」とStorms氏は付け加えている。

　セキュリティトレーニング組織であるSANS Instituteの専門家も、AppleのDNSパッチを非難している。Sans InstituteのインシデントハンドラーSwa Frantzen氏は8月1日のパッチリリース後、自分のマシン（OS X 10.5.4）ではポートがインクリメントされていたとつづっている。

　Appleの広報担当に問題に関するコメントを求めたが回答は得られなかった。

この記事は海外CNET Networks発のニュースをシーネットネットワークスジャパン編集部が日本向けに編集したものです。海外CNET Networksの記事へ