セキュリティ研究者がiOSマルウェアの侵入経路となるコード署名の欠陥を発見

新たに発見されたiOSのセキュリティ上の欠陥により、ユーザーのデータを盗む能力を持つ偽装マルウェアがAppleの厳格なセキュリティ対策を回避し、App Storeに侵入できる可能性がある。

フォーブス誌によると、Macハッカーで研究者のチャーリー・ミラー氏は、Appleのコード署名制限の欠陥を悪用して、マルウェアをApp Storeに忍び込ませ、その後あらゆるiOSデバイスに侵入させる方法を発見したという。このマルウェアはユーザーデータを盗み、特定のiOS機能を制御できるようになるという。

ミラー氏は、コード署名の制限により、iOSデバイスのメモリ内で実行できるのはAppleが承認したコマンドのみであり、これらのルールに違反するアプリはApp Storeで公開されないと説明しています。しかし、彼はiOSのコード署名のバグを悪用することでAppleのセキュリティを回避する方法を発見しました。このバグにより、アプリはリモートコンピューターから承認されていない新しいコマンドをダウンロードすることが可能になります。

「アングリーバードのようなプログラムがApp Storeに存在し、Appleが確認できなかった新しいコードを携帯電話で実行できる可能性があります」とミラー氏は述べた。「このバグにより、App Storeからダウンロードしたアプリが正常に動作するという保証はまったくありません。」

この脆弱性は、AppleがiOS 4.3をリリースした際に発生しました。iOS 4.3では、インターネット上のJavaScriptコードをデバイスのメモリ内の以前のバージョンよりもはるかに深いレベルで実行できるようにすることで、ブラウザの速度が向上しました。ミラー氏は、速度と引き換えに、Appleがウェブブラウザで承認されていないコードを実行できる新しい例外を設けていることに気付きました。研究者はすぐにバグを発見し、欠陥のあるコードをブラウザを超えて拡張し、App Storeからダウンロードしたアプリに組み込むことができました。

ミラー氏は脆弱性を実証するために「Instastock」という概念実証アプリを作成し、Appleに提出、承認を得てApp Storeで配信されました。このシンプルなプログラムは一見無害な株価表示アプリのように見えますが、コード署名のバグを悪用してミラー氏のサーバーと通信し、不正なコマンドを感染デバイスに実行することができます。このプログラムは、アドレス帳の連絡先、写真、その他のファイルなどのユーザーデータを送信したり、バイブレーション通知などの特定のiOS機能を起動したりすることが可能です。

その後、このアプリは削除され、ミラー氏のTwitterアカウントによると、同氏はApp Storeから追放され、iOS開発者プログラムからも追放されたと報じられている。

ミラー氏は元NSAアナリストで現在はコンピューターセキュリティ企業Accuvantに勤務しており、MacBookのバッテリーの脆弱性やSafariのモバイル版のセキュリティホールを暴露した著名なApple研究者である。

研究者は脆弱性を公表することを拒否しており、Apple に修正プログラムを開発する時間を与えると報じられているが、来週台湾で開催される SysCan カンファレンスで詳細を発表する予定だ。