脆弱性は未修正

macOS Mojaveの未修正の脆弱性により、攻撃者はGatekeeperのセキュリティ機能を完全に回避することができます

Appleは2月22日に最初に この脆弱性について知らされましたが、先週のmacOS 10.14.5アップデートでは、それが想定されていましたがこの脆弱性は修正されていません

セキュリティコンサルタントのFilippo Cavallarin氏は、macOSの設計上の欠陥が「Gatekeeperを簡単に回避することを可能にする」としていると述べています、Gatekeeperはユーザーが悪意のあるアプリを実行するのを防ぐためのものです

通常、ユーザーがMac App Store以外の場所からアプリをダウンロードした場合、GatekeeperはそのアプリがAppleによってコード署名されていること、したがって正規のソースからのものであることを確認します

Cavallarin氏によると、これはすべて回避することができます

設計通りに、Gatekeeperは外付けドライブとネットワーク共有の両方を安全な場所と見なしています。さらに、それらを含むすべてのアプリケーションを実行できます

要因は、いったんダウンロードしてアプリの起動を選択したら、Gatekeeperはそれを開くたびにチェックし続けるわけではないということです

Cavallarin氏によると

Zipアーカイブには、任意の場所を指すシンボリックリンクを含めることができます。また、zipファイルを解凍するMacOS上のソフトウェアは、シンボリックリンクを作成する前にチェックを実行しません

その結果、ユーザーがこのネットワーク共有をマウントし、ファイルを解凍してリンクをクリックすると、問題が発生する可能性があります

(Via appleinsider.)