ハッカーがAT&Tに反撃、Safariの脆弱性により全てのiPadが危険にさらされていると主張

先週、無線通信事業者のウェブサイトのセキュリティホールを悪用したハッカー集団は、AT&Tに「悪意ある」と評されたことに不満を抱き、iPadのセキュリティに関してAT&TとAppleの両社が無責任な行動をとったと非難して反撃した。

ゴーツ・セキュリティーは月曜日のブログ投稿で、114,000人以上のiPad 3G加入者（政府高官や企業幹部多数を含む）の電子メールアドレスを吐き出したAT&Tウェブサーバーの操作は公共サービスとして行われたと証言し、AT&Tが顧客に対して謝罪した、同社が「悪意を持って」行動し、ハッキングを実行するために「多大な努力」を払ったという主張に異議を唱えた。

「AT&Tには、我々が情報開示する前に、公に知らせる十分な時間があった。しかし、それがなかった」とグループは述べた。「我々が第三者に脆弱性について伝え、その後彼らから報告を受けていなかったら、AT&Tは脆弱性を修正することはなく、おそらく他の犯罪組織や政府に悪用されていただろう」

「AT&Tのメール漏洩を発見した人は、11万4000件のメールを収集するのに、合計1時間強の労力を費やした（人間の介入なしにスクリプトが実行された時間は除く）」と付け加えた。

Goatse Securityのメンバーであるエッシャー・アウエルンハイマー氏は、同グループがAT&Tのサーバーから抽出したデータをジャーナリスト1人にのみ開示し、その後原本を破棄したと述べた。さらにアウエルンハイマー氏は、AT&Tが顧客への警告を遅らせ、潜在的な被害について不誠実であると非難した。

「パッチ適用後、情報開示は即時、1時間以内に行うべきです」と彼は記している。「数日後というのは許容されません。理論的には、（特にセキュリティホールが塞がれた後）1日の間に、犯罪組織が古いデータセットを使ってユーザーを攻撃しようとし、ユーザーが脆弱性について認識する前に攻撃を仕掛ける可能性もあるのです。」

これとは別に、アウアーンハイマー氏は、3月に発見され公表されたiPad向けSafariにおけるセマンティック整数オーバーフローの脆弱性を修正し、ユーザーに警告しなかったとして、AppleとAT&Tの両社を非難した。

「Appleのデスクトップ版Safariでは修正されましたが、iPadではまだ修正されていません」と彼は述べた。「私たちが仕掛けたこのバグにより、ウェブページの閲覧者が（企業や政府のファイアウォールの背後で！）スパム、エクスプロイトペイロード、パスワード総当たり攻撃、その他の望ましくない攻撃のプロキシになることが可能になるのです。」

Goatse が投稿したハックのより詳しい説明では、iPad 上の Safari が、16 進数の数字で表現可能な 65536 通りの値 (「短い」整数とも呼ばれる) の範囲外にある、存在しないポートへのアクセスをブロックできない理由が説明されています。

このハッキングが実装されると、ハッカーは他人の電子メール ID を盗んだり、ネットワーク デバイスのファームウェアを更新したり、Safari を騙して「あらゆる TCP ポートでほぼあらゆる操作を実行でき、既存の IDS/IPS も何も気づかない」ようになる可能性があるという。

「この種の攻撃の可能性と、主要な公共インフラや商業インフラの管理者であるiPadユーザーがリストに多数含まれていたことから、公表せざるを得ませんでした」とオーエンハイマー氏は述べた。「重要な立場にある人々は、脆弱性の範囲を直ちに完全に理解する権利があります。」