<strong>Mac OS Xに深刻な脆弱性</strong>

ITmedia PCUpdateより。
http://www.itmedia.co.jp/pcupdate/articles/0405/18/news012.html
元情報：Secunia Advisories Mac OS X Help URI Handler Arbitray Script Execution (SA11622) 2004-05-17
http://secunia.com/advisories/11622/

Critical

Highly critical

Impact

System access

Where

from remote

OS

Apple Macintosh OS X

Software

Internet Explorer 5.x for Mac/Safari 1.x

環境設定で「安全なファイルをダウンロード後に開く」設定で、意図的に作られたディスクイメージファイル(dmg)がダウンロードされ、任意のスクリプトなどがユーザーシステムにインストールされる恐れがある。
以下、削除

基本的には、ちょっと前に話題になった「トロイの木馬」と同じ脆弱性と思われる。これに関するいくつかのコメントは「道具としてのパソコン」（2004-04-22)に記述がある。以下、抜粋して転載。
http://www1.linkclub.or.jp/~naminchi/oyanews/homep/HP2004/HP040411.html#HP040411_2

おそらく、ファイルヘルパーの処理方法：「アプリケーションで表示する」を選択していると、自動演奏と云うことになるのではないか。デフォルトは、多分、「ファイルに保存する」のはず。かつて、エクスプローラーを使っていたとき、この項目を弄ったことはなかったので、私の設定はデフォルトのままと思う。今回のケースは、ファイルヘルパーの設定から、危なそうなファイル形式を全てチェックし、処理方法が「アプリケーションで表示する」になっていないことを確認する必要があると云うことかもしれない。それにしても、エクスプローラーの環境設定の細かいこと。これら全てを自分の思い通りに設定している人がいるんだろうか？下手に弄ると、元に戻せなくなりそう。デフォルトに戻すボタンもないし。

デフォルトWebブラウザ

これがSafariに設定してある場合、例えば、届いたメールのリンクをクリックしたときに、勝手にSafariが立ち上がり、ダウンロードを始めることになるだろう。安全な設定にしてあれば構わないかもしれないが。

「指定しない」と云う設定は出来ないらしい。

ダウンロードしたファイルの保存先

デフォルトがどうなっているのか分からないが、デフォルトのままで使うのは危ないのではないか？ユニークな名前のフォルダを指定するべきだろう。

ダウンロードリスト項目から取り除く

ダウンロードの履歴を残すという意味で、「手動」とするべきではないかと思う。

ダウンロード後、"安全な"ファイルを開く

チェックボックスで、デフォルトでは多分チェックされているはず。このチェックを外すこと！

さらに、解説として、"安全な"ふぁいるには、ムービー、画像、サウンド、PDFやテキスト書類、ディスクイメージやその他のアーカイブが含まれます。とある。

アップルの見解なのだが、それでは、"危険な"ファイルとは、どのようなものであるのか？以前から何か不思議な説明と思っていた。

なんだか、よくよく考えると、デフォルトブラウザの指定っていうやつは、かなり危ない仕組みではないかという気がする。指定しない、を選べないのもなんだか、、、

出張前に、大あわてで書いたのですが、大変いい加減な記事です。失礼しました。
詳しくは、こちらを
http://allabout.co.jp/computer/macos/closeup/CU20040520VIUS/index.htm
Mac OS X に重要度【至急】のセキュリティホール：All about Japan