Microsoftの研究者が発見した新たなmacOSの脆弱性「HM Surf」（CVE-2024-44133）は、MDM（モバイルデバイス管理）を使用しているデバイスを対象とし、SafariブラウザのディレクトリにあるTCC保護（Transparency, Consent, and Control）を無効化することで、攻撃者がユーザーの同意なしにカメラやマイクなどにアクセスできる深刻な問題です。
脆弱性の概要：CVE-2024-44133
この脆弱性を悪用すると、攻撃者は以下のような操作が可能になります：
- SafariブラウザのTCC保護を解除
TCC保護は、ユーザーのプライバシーを守るために、アプリがカメラやマイク、位置情報などの機密データにアクセスする際にユーザーの許可を必要とする機能です。脆弱性を利用することで、この保護が削除され、許可なしにアクセスが可能となります。 - ユーザーのプライバシー情報にアクセス
- カメラやマイクを通じた映像や音声データ
- 閲覧履歴
- 位置情報
攻撃者は、これらの情報を密かに収集し、悪意ある目的で使用する可能性があります。特にMDMによって管理されている企業のデバイスが攻撃対象となりやすく、企業のセキュリティにとって重大な脅威です。
対策：macOS Sequoia 15へのアップデート
Appleは、2024年9月にこの脆弱性を修正するパッチをリリースしています。対策としては、macOS Sequoia 15へアップデートを行うことが推奨されています。
- 対策手順：
- 最新バージョンのmacOS Sequoia 15にアップデートすることで、脆弱性の悪用を防止可能です。
- アップデート未実施のシステムは依然として攻撃対象となるため、早急な対応が求められます。
結論と推奨事項
この脆弱性「HM Surf」は、カメラやマイクといった非常にセンシティブなデータへの不正アクセスを許すため、特に企業で使用されているMDM管理デバイスにおいて大きなリスクを伴います。
macOS Sequoia 15へのアップデートが唯一の対策となるため、すべてのmacOSデバイスに対して迅速なアップデートを実施することが重要です。
