Microsoftは7月13日(米国時間)、「Uncovering a macOS App Sandbox escape vulnerability: A deep dive into CVE-2022-26706 - Microsoft Security Blog」において、Macの「サンドボックス」に脆弱性があったことを伝えた。この脆弱性が悪用された場合、攻撃者がデバイスの特権を取得し、ペイロードのインストールなど悪意のあるコマンドを実行できる危険性がある。

  • Uncovering a macOS App Sandbox escape vulnerability: A deep dive into CVE-2022-26706 - Microsoft Security Blog

    Uncovering a macOS App Sandbox escape vulnerability: A deep dive into CVE-2022-26706 - Microsoft Security Blog

サンドボックスは、開発者がMac App Storeを通じてアプリケーションを配布するために採用しなければならないAppleのアクセス制御技術。アプリケーションのプロセスは、特定のファイルの読み取りまたは書き込みなど、カスタマイズ可能なルールで強制される。また、プロセスのシステムリソースやユーザーデータへのアクセスを制限し、アプリが侵害された場合の影響や被害を最小限に抑えることができる。

Mac上のMicrosoft Officeで悪意のあるマクロを実行および検出する潜在的な方法の調査中にこの脆弱性は発見されている。後方互換性のため、Microsoft Wordは「~$」をプレフィックスとするファイルの読み取りまたは書き込みが可能となっている。調査により、MacのLaunch Servicesを活用して、同プレフィックスを持つ特別に細工されたPythonファイルに対してopen -stdinコマンドを実行することにより、サンドボックスから逃れることが可能であることが判明した。

発見された脆弱性はすでにAppleと共有されている。現在、CVE-2022-26706として特定されているこの脆弱性の修正プログラムは、2022年5月16日にAppleがリリースしたセキュリティアップデートに含まれている。まだパッチを適用していないMacユーザはセキュリティ情報をチェックするとともに、必要に応じてアップデートを適用することが推奨される。