macOS Sequoiaの深刻な脆弱性：パスワードなしでKeychainデータが露出する可能性

Appleは長年にわたってセキュリティとプライバシーを重視してきたことで知られていますが、macOS Sequoia 15.0で発見された脆弱性は、同社の堅牢なセキュリティ対策を根本から揺るがすものでした。

脆弱性の概要

2025年のNullcon Berlinにおいて、FFRI Securityのセキュリティ研究者である中川晃氏が、CVE-2025-24204として追跡されているこの深刻な脆弱性を公表しました。

この問題は、Appleのgcoreデバッグユーティリティに付与されたシステムレベルの権限が、重要なセキュリティ境界を破綻させることを可能にしていました。

この脆弱性の影響範囲：

中川氏によると、この脆弱性の発見は偶然だったそうです。MicrosoftがProcDump-for-Macをリリースした際、SIPが保護されたプロセスをブロックするため、通常は動作しないはずでした。

しかし、テスト中にProcDumpがほぼすべてのプロセス（機密性の高いシステムプロセスを含む）からメモリをダンプできることが判明しました。その秘密は、com.apple.system-task-ports.read権限を付与されていたgcoreにありました。

攻撃者はsecuritydプロセスのメモリをダンプすることで、ログインキーチェーンの暗号化に使用されるマスターキーを取得できました。このキーがあれば、ユーザーのパスワードなしでキーチェーン全体を復号化することが可能でした。

Appleのアクセス制御システムであるTCCを回避し、写真や連絡先などの保護されたファイルにアクセスできました。サンドボックス化されたアプリがファイルをメモリに読み込む際、攻撃者はそのメモリをダンプして保護された文書を再構築できました。

通常であれば脱獄したiPhoneでなければアクセスできないiOSアプリの復号化されたバイナリを、Apple Silicon Mac上で取得することが可能でした。

Appleは2025年初頭にリリースされたmacOS 15.3で、問題となっていた権限を削除しました。同社は通常、セキュリティ修正について大々的な発表を行わず、詳細は変更履歴に簡潔に記載されるのみです。

この脆弱性は野生での悪用は確認されておらず、幸いにも物理的なアクセスは必要なく、Mac上でローカルにコードを実行する能力のみが必要でした。

macOS Sequoiaを使用している場合は、直ちにバージョン15.3以降にアップデートしてください。これより古いバージョンは依然として脆弱性にさらされており、アップグレード以外に回避策はありません。

リスクのあるビルドに留まることを避けるため、自動アップデートを有効にすることをお勧めします。

Appleのキーチェーン以外のパスワードマネージャーの使用を検討してください。すべての機密情報を一箇所に集中させることのリスクを軽減できます。

Appleのサポートサイトで公開されるセキュリティアドバイザリを定期的に確認してください。詳細は限定的ですが、何が修正されたかの公式記録となります。

まとめ

この脆弱性は、最も信頼されているシステムでも予期しない弱点が存在することを示しています。
定期的なセキュリティアップデートの重要性と、多層防御の必要性を改めて認識させる事例となりました。

現在はパッチが提供されているため、速やかなアップデートが最も重要な対策となります。