iPhone App Store は堅牢なセキュリティで定評があるが、不正なコードを実行して電話をリモート制御できるアプリが今週一般に公開されたことで、その評判は打撃を受けた。
幸いなことに、この不正なアプリは悪意のある目的ではなく、研究目的でリリースされました。
セキュリティ研究者で著名なMacハッカーのチャーリー・ミラー氏は、Appleが意図せずApp Storeに導入したダミーの株価表示アプリを用いて、iPhoneのセキュリティ上の欠陥を実証しました。このアプリはリモートコンピュータを呼び出し、署名されていないコードをiPhoneにダウンロードして機密データを収集し、バイブレーションや着信音などのアクションをトリガーすることができました。
フォーブス誌の報道によると、アップルはすでにこのプログラムをApp Storeから削除し、ミラー氏の開発者ライセンスも終了している。
ミラー氏は来週台湾で開催されるSysCanカンファレンスでこの脆弱性の詳細を説明する予定だが、要点はiOS 4.3でリリースされたモバイルSafariの「Nitro」JavaScriptエンジンが、iPhoneのメモリ領域で未承認コードを実行する権限を必要とするという点だ。ミラー氏のエクスプロイトは、この権限を他のアプリにも拡張する。他のアプリは、通常はセキュリティ上の理由からSafariと同様に未承認コードの実行が禁止されている。
iPhoneユーザーは慌てる必要はありません。問題のアプリは既に削除されており、ミラー氏はAppleが正当な攻撃を防ぐためにセキュリティバグを修正すると予想しています。しかし、今回の脆弱性は、App Storeの厳格なセキュリティ対策が必ずしも突破不可能ではないことを証明しています。セキュリティ研究者は長年このことを主張してきましたが、ミラー氏は実際にそれを実証しました。
さらに多くのテクノロジーニュースや解説を入手するには、 Facebook 、 Twitter 、またはGoogle+で Jared をフォローしてください。
