Apple iOSの連絡先アプリにSQLiteハック起因の脆弱性を確認

アメリカのラスベガスで開催されるコンピューター・情報セキュリティーに関する世界最大規模のイベントであるDef Con 2019に参加した研究者らが、データベース検索を使って悪意のある結果を生成する方法を実証しました。

その際、Appleの標準のiOS連絡先アプリを使用していたということです。

世界一のデータベースエンジンを使ったハッキング

セキュリティ会社のCheck Pointによると、業界標準のSQLiteデータベースは悪用される可能性があるとして、その脆弱性を実証しています。

同社はDef Con 2019で、AppleのiOS連絡先アプリを操作する手法を提示しました。

現状では連絡先アプリを検索するだけで、悪意のあるコードが実行される可能性があります。

SQLiteは世界で最も広く普及しているデータベースエンジンです。すべてのOS、PC、スマートフォンで使用可能であり、とても幅広く用いられています。

同社は、「SQLiteによるデータベースを照会するすべてのユーザーを不正にコントロールすることが可能です」と述べています。

連絡先を検索したり、アプリで情報を検索したりする際には、データベースを検索しており、その際多くの場合SQLiteが使われています。

友だち追加でお得なキャンペーン情報をゲット！

4年修正されないバグ

AppleInsiderが確認した4,000語に及ぶ報告で、同社のハッキングにはAppleの連絡先アプリの一部を置き換えてしまうハッキングも含んでいることが判明。

さらには、発見後4年経っても修正されない既知のバグに依存するということもわかりました。

なぜ4年前のバグが修正されなかったのか？という疑問については、以下のように述べられています。

「このバグは不明なアプリケーションがデータベースにアクセスすることによってのみ引き起こされると考えられていたため、重要視されませんでした」

一方で、iOSのようなクローズドなシステムには、不明なアプリケーションと分類できるものはありません。

Check Point社の研究者は、信頼性のあるとされるアプリからバグを引き起こすコードを送り、悪用することに成功しました。

アプリのパスワードも盗用可能

デモンストレーションでは、アプリをクラッシュさせるのみでしたが、応用すればアプリのパスワードを盗用することも可能だということです。

彼らは「データベースにクエリを実行するだけでは、期待したほど安全ではない可能性があることを確認し、SQLiteのメモリ破損が悪用できうることを検証しました。当社の研究と方法論はすべて責任を持ってAppleに開示されています」と述べています。

SQLiteデータベースの問題でバグが発生したのも、何年も修正されないままであるのも、本件が初めてではありません。

まとめ

セキュリティ対策について警鐘が鳴らされる現代、既知のバグを修正しなかったAppleの姿勢に疑問が抱かれるのは当然のことかもしれません。バグ報奨金プログラムの対象をMac,iCloudにまで拡げるなど、Appleがユーザーの安全性を高める施策を打っている中でも、速やかなバグの発見とその修正が求められています。

Source:AppleInsider