まだ続くURIハンドラの問題 5
ストーリー by Acanthopanax
あっちにもこっちにも 部門より
あっちにもこっちにも 部門より
Mac OS Xに発見された、URIハンドラの問題による外部からコード実行可能な脆弱性は、Security Update 2004-05-24にて一応の対処がなされた。しかし、"disk:"や"afp:"、"ftp:"などによるボリュームの自動マウントに関連して、まだ問題が残っているとの指摘がある。ITmediaの記事によると、マウントされたボリュームが新規URIハンドラを登録し、それを、そのボリューム中のアプリケーションと結びつけることができるため、任意のコードが実行されるおそれがある(Secuniaのセキュリティ勧告)。
さらに、本家記事によると、"ssh:"ハンドラを利用して、自動マウントされたボリューム内のコードを実行する方法も発見されている。その前には、"telnet:"によりファイルが消去される問題も発見されている。対処法として上記本家記事では、Paranoid Android(要Application Enhancer)を使用する方法と、RCDefaultAppを使用する方法が提案されている。
10.3.4でも… (スコア:2, 参考になる)
disk:に関してだけしかチェックしてないですけど。
----
:oすずめのおやどはどこじゃろぉ
('>ぴよぴよ
Re:10.3.4でも… (スコア:2, 参考になる)
本家でも、修正されていないというコメント [slashdot.org]と修正されたというコメント [slashdot.org]がでています。手もとの環境でためしたところ、任意のURIハンドラの問題 [insecure.ws]とSSH URIハンドラの問題 [insecure.ws]は、ともに修正されていないことが確認されました。少なくともこの部分の修正はまだのようです。
Security Update準備中だそうです (スコア:2)
>同社ではパッチの開発に現在、取り組んでいるという。
Apple、「バギーな」Pantherをアップデート [itmedia.co.jp]
いきなりオフトピですまんです (スコア:0)
ftp://example.com [example.com]というリンクは 自動でマウントしてくれるのですが、
ftp://example.com/pub/test/ [example.com] みたなリンクは理解してくれません。
皆さんの所ではどうでしょうか?
RCDefaultApp [rubicode.com] でftp: ハンドラをFinder 以外のアプリケーションにしても 同様です。
Finder の「サーバーへ接続」というメニューからだとうまくいくんですが。
Re:いきなりオフトピですまんです (スコア:1)
上記のようなURLも、手もとでは、10.3.3でも10.3.4でもFinderでマウントできました。Finder以外のアプリケーションだと、Cyberduck [unizh.ch]ではルートしかマウントできませんでしたが、Transimi [panic.com]では、サブディレクトリまでマウントできました。