macOS用Excel・Outlook・PowerPoint・Teams・Word・OneNoteなどのMicrosoft製アプリの脆弱性でマイクやカメラに無断でアクセスされる可能性

アメリカのコンピューター機器メーカー・Cisco傘下のサイバーセキュリティグループであるCisco Talosが、macOS用にリリースされている複数のMicrosoft製アプリにある脆弱(ぜいじゃく)性を特定したと報告しました。この脆弱性を悪用することで、攻撃者がユーザーの同意なしでマイクやカメラにアクセスし、許可なく画面を録画したり音声を録音したりできるとのことです。

How multiple vulnerabilities in Microsoft apps for macOS pave the way to stealing permissions
https://blog.talosintelligence.com/how-multiple-vulnerabilities-in-microsoft-apps-for-macos-pave-the-way-to-stealing-permissions/

Vulnerability in Microsoft apps allowed hackers to spy on Mac users
https://9to5mac.com/2024/08/19/vulnerability-microsoft-apps-mac/

Bug Leaves Microsoft Apps for MacOS Open to Silent Takeovers | PCMag
https://www.pcmag.com/news/bug-leaves-microsoft-apps-for-macos-open-to-silent-takeovers

Flaws in Microsoft apps could let attackers spy on users
https://appleinsider.com/articles/24/08/19/security-flaws-in-microsoft-mac-apps-could-let-attackers-spy-on-users

Cisco Talosは、macOSのアプリケーションの分析と、macOSのユーザー保護機能である「Transparency, Consent and Control(TCC)」というフレームワークを中心とした、許可ベースのセキュリティモデルの悪用可能性についての調査を実施しました。

TCCはmacOSにおいて位置情報サービスやカメラ、マイク、ライブラリの写真、その他のファイルにアクセスするためのアプリ権限を管理するフレームワークです。各アプリはこれらの保護されたリソースにアクセスするために、TCCに基づいて明示的な同意を得る必要があります。

ユーザーがアプリによるカメラやマイク、その他のリソースへのアクセスを許可したかどうかはデータベースに記録され、その後のリクエストは以前の記録に基づいて管理されます。この仕組みにより、ユーザーは悪意のあるアプリが機密性の高いアクションを実行するのを避けることができます。

macOSでは、アプリのセキュリティを保護する「Hardened Runtime(強化されたランタイム)」という機能が提供されています。Hardened Runtimeを採用するアプリでは、アプリ内で特定のアクションを実行するため、必要な機能を「エンタイトルメント」として宣言する必要があります。たとえば、「com.apple.security.device.camera」というエンタイトルメントを有効にしない限り、アプリはカメラへのアクセスを許可されず、アクセス許可を求めるポップアップも表示されません。

また、Hardened Runtimeではデフォルトでライブラリの検証が有効になっており、読み込まれるライブラリはアプリの開発者またはAppleによって署名されたものに制限されます。しかし、サードパーティーのプラグインなどをサポートする上でライブラリの検証が邪魔な場合、「com.apple.security.cs.disable-library-validation」というエンタイトルメントを無効にすることで、ライブラリの検証を回避できるとのこと。

Cisco Talosの調査の結果、MicrosoftのmacOS向けアプリである「Microsoft Word」「Microsoft Outlook」「Microsoft Excel」「Microsoft OneNote」「Microsoft PowerPoint」「Microsoft Teams関連の3つのアプリ」では、Hardened Runtimeのライブラリ検証が無効になっていることが判明。これにより、攻撃者が正当なアプリに悪意のあるライブラリを挿入し、TCCに基づいてアプリに許可したアクセス権限を悪用できるとCisco Talosは指摘しています。

ハッカーが悪用可能な権限は侵害したアプリによって異なりますが、Excelを除くすべてのアプリはマイクにアクセスしてオーディオを録音できるほか、カメラにアクセスできるアプリでは写真や動画を撮影することも可能です。また、Outlookを除くすべてのアプリはApple eventをOutlookに送信し、ユーザーのプロンプトなしで電子メールを送信することもできるそうです。

Cisco Talosは、「TCCの有効性は、アプリが受け取った許可を責任を持って扱うかどうかにかかっています。信頼されたアプリが侵害された場合、その許可が悪用され、攻撃者がユーザーに気付かれずにアクションを実行できるよう操作される可能性があります。たとえば、カメラとマイクにアクセスできるビデオチャットアプリが悪用された場合、ユーザーへの警告なしで録画を強制される可能性があります」と述べました。

Microsoftは問題となったアプリにおいて、サードパーティーのプラグインを許可する必要があるため、ライブラリの検証を無効にしているとのこと。

Cisco Talosが報告した8個のアプリのうち、「Microsoft Teams関連の3つのアプリ」と「Microsoft OneNote」はMicrosoftによって問題が修正されましたが、「Microsoft Word」「Microsoft Outlook」「Microsoft Excel」「Microsoft PowerPoint」は依然として脆弱なままとなっています。