悪意のあるメールがmacOS/iOSを一瞬で麻痺させることに！アリセキュリティが新しい脆弱性のリスクを明らかに

最近、アリセキュリティチームはアメリカインディアナ大学ボーンタウン校と協力し、新たなセキュリティ脅威を明らかにしました。悪意のあるメール1通で、macOSやiOSシステムが一瞬でフリーズしてしまうというものです。この研究成果の基盤は、異常なX.509証明書です。この証明書は攻撃者によって利用され、暗号アルゴリズムライブラリ内でサービス拒否（DoS）の脆弱性を引き起こすことができます。

X.509証明書はインターネット世界において、身分の検証とデータのセキュリティ保護に不可欠なツールです。これらは「身分証」として、信頼できる機関から発行され、通信相手の身分の真実性と情報伝送の安全性を確保するために使用されます。しかし、アリセキュリティチームは、これらの証明書が処理中に攻撃者の標的となる可能性があることを発見しました。

研究者は、6つの主要なオープンソース暗号ライブラリで実験を行い、OpenSSLやBouncy Castleなども含まれており、18の新しい脆弱性を発見し、12の既知の脆弱性を特定しました。悪意のあるメール（「バナナメール」攻撃と呼ばれる）を送信することで、不正なX.509証明書を含むメールを送信し、ユーザーのシステムが証明書を処理する際にリソースを浪費し、システムが応答しなくなる可能性があります。

この問題は特に深刻で、現代のオペレーティングシステムはアプリケーションの署名検証にこれらの証明書を使用しています。攻撃が成功すれば、システム内の他のアプリケーションが正常に動作できず、ユーザーにとって大きな不便をもたらします。研究チームは、現在のセキュリティ研究が可用性の問題を無視していることが多いこと指摘し、彼らの作業はこの分野で初めて体系的に分析したものです。

この脅威に対処するために、研究チームはX.509DoSToolという自動化ツールを開発しました。このツールは、異常な証明書を迅速に生成し、暗号ライブラリ内のDoS脆弱性を検出することができます。また、これらの脆弱性に対する緩和策も提案しており、システムのセキュリティを強化することを目的としています。