Twitterで1週間くらい前に「macOS High Sierraにユーザ名rootパスワードなしでログインできるバグがある」と流れていた。

macOS High Sierraのroot脆弱性CVE-2017-13872、通称「I am root」問題まとめ。

手元のmacbook-airにHigh Sierraがインストールされていたので,このバグ(I am root バグと言うらしい)を確かめるべくrootでのログインを試みた。
が,このMBAではパスワード無しでのログインはできなかった。しかし,パッチを当てた覚えはない。

思い出した,私のmacOSマシンは自分でrootにパスワードを設定していたのだった。

ターミナル(shell)を用いroot権限でシステムをイジることがある。このとき,いちいち sudo でやるのがメンドクサイときはsu – でrootになって作業する。
macを使い始めた頃,root になるために su – とやったらパスワードを聞いてきた。rootのパスワードは何?

所有者が知らないパスワードがrootに設定されている!!! これはダメだろ。rootに関する全権限は所有者が持たないと。

と,言うことで

$sudo passwd root

でrootのパスワードを変更してrootを所有者の管理下に置いた。
このrootパスワード変更がI am rootバグを寄せ付けなかった。

その後
I am rootバグに対するセキュリティアップデートが頻繁に表示されるので,アップデートしたらrootのパスワードがappleが設定する不明のモノに書き換わったので sudo passwd root で自分のモノに設定し直した。余計なことするな > Apple.inc

 

Follow me!