Mac OS X 10.5.x に付属する Apple Remote Desktop Agent に重大な欠陥が発見されました。ローカルユーザが任意のシェルコマンドを、無認証のまま管理者権限で実行できてしまいます。この欠陥を利用したマルウェアも既に登場している模様です。

• Serious Security Vulnerabilty In Apple OS X Leopard (Brian Krebs on Computer Security)
• 「Mac OS X 10.4/10.5」を乗っ取るトロイの木馬が出現，セキュリティ・ベンダーの警告 (日経 IT Pro)

この欠陥は Mac OS X 10.4.x にも存在するとしているニュース記事が多いのですが、上記 Brian Krebs 氏の記事、および RINS におけるテスト結果から考えて、少なくとも Mac OS X 10.4.x の最新版 10.4.11 にはこの欠陥はないと判断します。一方、Mac OS X 10.5.x には欠陥が確実に存在する模様です。

修正プログラムはまだありません。Apple Remote Desktop を利用していない場合は、ターミナルから次のコマンドを実行することで、この欠陥を回避できます。

% sudo chmod u-s /System/Library/CoreServices/RemoteManagement/ARDAgent.app/Contents/MacOS/ARDAgent

2008.08.05 追記

Security Update 2008-005 で修正されました。また、Apple からの発表によると、Mac OS X 10.4.x にもこの欠陥は存在するそうです。