Apple、SSL接続の問題を修正するiOSアップデートをリリース | マイナビニュース
（情報元のブックマーク数
今朝出ていたので、適用済み。
Appleは2月21日、iOSのSSL接続時の検証に関する問題を修正するiOS 7、iOS 6、Apple TVのアップデートをリリースした。
Apple、SSL接続の問題を修正するiOSアップデートをリリース | マイナビニュース
Appleによると、アップデートはネットワーク権限の高い攻撃者がSSL/TLSで保護されたセッションのデータを取得または変更できる問題を修正する。21日時点でiOS 7.1の開発がベータ5まで進んでおり、3月にリリースされる見通しが報じられている。そのiOS 7.1を待たずに、1つの問題の修正のためにリリースされた今回のアップデートは緊急度の高いものと考えられる。アップデート後は、iOS 7がバージョン7.0.6、iOS 6はバージョン6.1.6、Apple TVはバージョン6.0.2になる。
ひどいバグだったみたい。
Wiredによると、Appleの史上最大のセキュリティ過失と言われるかもしれないこのバグの正体は、認証のコード中にあった要らざるgoto文だった。その余計な1行のおかげで、認証プロトコルのその後の部分を完全にバイパスしてしまうことができるのだ。
金曜日にAppleはiOS 7の深刻重大なバグを修復 | TechCrunch Japan
金曜日（2/21）に発行されたReutersの記事によると、ハッカーはそのバグを悪用して、メールをはじめ、暗号化されているはずの通信の内容を横取りできる。
一方ZDNetは、Macにも同じバグがあって、そっちは直っていないかもしれない、と言っている。
ZDNetの編集者Larry Seltzerは、こう書いている:
間違いなくこのバグは、きわめて深刻なバグだ。このバグのおかげで、SSL/TLSによる通信の傍受が簡単にできてしまう。今インターネット上で使われている、いわゆる‘セキュアな通信’の大半が、このプロトコルによるものである。したがって、場合によっては甚大な被害が生じうる”。
こんなコードなのか・・・
「goto fail;」が2行続けて記述されている箇所に注目してほしい。2行目の「goto fail;」が存在するおかげで、これ以後の検証過程をスキップし、常に検証が成功することになってしまう（詳細に解説している英文記事）。おそらく、プログラマのタイプミス（コピペミス）が原因だろう。むしろ、それ以外に原因が考えづらい。
Apple史上最悪のセキュリティバグか、iOSとOS XのSSL接続に危険すぎる脆弱性が発覚──原因はタイプミス？ | アプリオ
このバグによって、悪意のあるサイトに接続した場合に、攻撃者はさまざまなデータをキャプチャしたり改ざんしたりすることができてしまう。
