「キーチェーン」の全パスワード盗まれる恐れ macOS Mojaveの未解決の脆弱性、研究者が報告

コンセプト実証用のアプリ「KeySteal」を使って、キーチェーンに登録された全パスワードを盗む様子を示した動画が公開された。

[鈴木聖子，ITmedia]

macOSのパスワード管理アプリケーション「キーチェーン」に脆弱性が見つかった

　米AppleのmacOSに搭載されているパスワード管理アプリケーション「キーチェーン」のパスワードを全て盗むことができてしまう脆弱性が新たに見つかったとして、セキュリティ研究者がデモ用の動画を公開した。

　セキュリティ研究者のリーナス・ヘンツェ氏は2019年2月3日のTwitterで、macOS Mojaveまでのバージョンに存在する未解決の脆弱性を発見したと報告し、YouTubeに投稿したデモ用の動画を紹介した。

「KeySteal」のデモ動画

　この動画では、最新版のmacOS Mojave（10.14.3）で、コンセプト実証用のアプリ「KeySteal」を使って、キーチェーンに登録されたパスワードを盗む様子を示している。

　macOS Mojaveでは通常、ユーザーがキーチェーンに登録されたパスワードを表示させようとすると、キーチェーンのパスワードの入力を促すプロンプト画面が表示される。しかしヘンツェ氏のコンセプト実証アプリでは、プロンプト画面が表示されることなく、キーチェーンに登録されたパスワードを全て抽出することができていた。

　報道によると、ヘンツェ氏はこの脆弱性に関する詳細をAppleに提供していないという。その理由について、AppleがmacOSに関しては脆弱性の発見者に賞金を支払うバグバウンティプログラムを設けていないことを挙げ、Appleに対してiOSだけでなくmacOSもバウンティプログラムの対象とするよう求めている。

　macOSのキーチェーンを巡っては、過去にも別の研究者が同様の脆弱性を指摘し、やはりAppleに対してmacOSのバグバウンティプログラム提供を要望していた。