Appleは米国時間5月6日、「OS X 10.8（Mountain Lion）」と「OS X 10.9（Mavericks）」「OS X 10.10（Yosemite）」に対するセキュリティアップデートとして、「Safari」の新バージョンをリリースした。
Macユーザーはこのアップデートを早急に適用し、脆弱性に対処する必要がある。同アップデートは、攻撃者が悪意のあるウェブサイトを用いてシステムの制御を奪取できるようになる5件の脆弱性を修正するものだ。
このアップデートでリリースされたSafariのバージョンは「Safari 8.0.6」と「Safari 7.1.6」「Safari 6.2.6」だ。
今回のアップデートで対処された脆弱性のうち3件（CVE-2015-1152、CVE-2015-1153、CVE-2015-1154）はAppleによって発見されたものであり、いずれも「Safari 8.0.5」と「Safari 7.1.5」「Safari 6.2.5」のブラウザエンジンである「WebKit」内のメモリ破壊を招くというものだ。これらの脆弱性を突くことで、悪意のあるウェブサイトを通じてブラウザのクラッシュや任意コードの実行が引き起こされる可能性もある。
Appleはサポートページで「複数のメモリ破壊問題がWebKitに存在していた。これらの問題はメモリ操作の改善によって解決された」と説明している。
4つ目の脆弱性（CVE-2015-1155）はRapid7のリサーチャーであるJoe Vennix氏が発見したものだ。これはWebKit Historyに影響を与えるものであり、悪意のあるウェブサイトを用いることで、ファイルシステム上のユーザー情報へのアクセスを攻撃者に許してしまう可能性がある。
Appleは「ファイルシステム上のコンテンツに特権のない場所からアクセスできるようになる状態管理上の問題がSafariに存在していた。この問題は状態管理の強化によって解決された」と説明している。
5件目の脆弱性（CVE-2015-1156）はWebKitPage Loadingにまつわるものであり、MoodleのZachary Durber氏によって報告されていた。攻撃者はこの脆弱性を突くことで、ユーザーが悪意のあるウェブサイトへのリンクをクリックした際に、Safariのユーザーインターフェースを偽装できる可能性がある。
Appleは「アンカー（a）要素内のrel属性の取り扱いに問題が存在していた。これにより対象オブジェクトに、権限が与えられていないリンクオブジェクトへのアクセスを与えてしまう可能性がある。この問題はリンクタイプの順守を強化することで解決された」と説明している。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
