xiaolong 
ラスベガスで行われたハッカーイベント、Black Hat（ブラックハット）において、セキュリティ研究家が、新品のMacを外部からコントロールできてしまう方法を発見しました。発見したセキュリティ研究家は、Macのモバイルデバイスマネジメント（MDM）の中にセキュリティホール（脆弱性）があることをつきとめ、それによってMacに無制限に悪意のあるソフトウェアをインストールすることができます。しかも、ユーザがMacを初めて起動してデスクトップを見る前にそれを行うことさえ可能ということです。当然ながら、新品のMacを攻撃するのはそんなにたやすいことではありません。
海外メディアWiredの報道によると、あるMacが初めて火を入れられ、Wi-Fi経由でインターネットに接続された時、Appleのサーバに接続して登録を行います。その際、MacはAppleのサーバに向かってこんなことを言っているのと同じになります。「Hey、私は〇〇というシリアル番号を持ったMacBookなんだぜ、私は誰々のもので、今〇〇をしようとしているぜ」、とまあこんな調子です。
そしてMacにそれぞれ独自に割り当てられたシリアル番号は、DEPとMDMの一部分としてAppleのサーバに登録され、Macが初めてAppleのサーバに登録する際に、そのシリアル番号によって様々な特権が与えられ、AppleのサーバとMDMサプライヤーのサーバから様々な自動設定がダウンロードされて、初めて起動してもまるで既に勝手に設定が終わって起動ができるというスキームになっているのです。そして企業は通常はサードパーティのMDMによって、このAppleのエンタープライズエコシステムを利用します。つまり、企業の従業員やシステム管理者がわざわざMacで企業用のシステムアプリケーションの設定や、セキュリティの設定などをしなくても、Appleから出荷されたものを従業員が社内で開封し、初起動してそのまま企業のネットに繋げると、自動的にその企業用にカスタマイズされたセットアップが完了してしまう、というわけです。
しかしセキュリティ研究家はこのシステムのプロセス内で脆弱性を発見したのです。MDMがMac App Storeで企業用のアプリをダウンロードしようとする時に、シリアル番号を使ってリストを検索するのですが、その際にそのリストで何がダウンロードされるのか、そしてどこにインストールされるのかということについて、真実性を検証せずにダウンロードが可能になっているというのです。
つまり、悪意のあるハッカーがMDMサプライヤーのWebサーバや、攻撃したいデバイスとの通信間に潜り込むことができた場合、彼らは悪意のあるソフトウェアをそのダウンロードリストに加えることができ、そしてMacにその悪意のあるソフトウェアをダウンロードさせインストールさせることができるというわけです。
この悪意のあるソフトウェアには、キーロガーやディスプレイロガーをはじめ、ネットワーク接続された近接のデバイスの脆弱性を探したり、情報を漏洩させたりする機能を持つソフトウェアも含まれます。
Macマネジメントファーム、Fleetsmith社のチーフ・セキュリティ・オフィサーのJesse Endahl氏と、DropboxエンジニアのMax Belanger氏がこの問題を発見しました。彼らはすぐにこの脆弱性をAppleに報告し、彼ら自身がこの攻撃方法を公開する前に修復する時間を与えました。そしてAppleは既に最新のmacOS High Sierra 10.13.6でこの脆弱性を修正しています。ただ、現在販売されているモデルのMacでも、在庫状況によってはmacOS High Sierra 10.13.6よりも前のバージョンがインストールされていることもあり、脆弱性が存在することになります。
まだmacOS High Sierra 10.13.6よりも前のバージョンを適用している方は、できるだけ早く最新バージョンにされることをお勧めします。
記事は以上です。
（記事情報元：Wired, Apple Insider）