macOSの権限ポップアップの脆弱性：TCC、誰？

最近修正されたmacOSの脆弱性CVE-2025-31250は、アプリケーションがシステム権限のポップアップを偽装し、ユーザーをだまして不正なアクセスを許可させることを可能にしていました。攻撃者は、Apple EventsとTransparency、Consent、and Control（TCC）システムの欠陥を利用し、ポップアップに表示されるアプリケーションと、実際に権限を取得するアプリケーションを分離しました。この脆弱性は、TCCデーモンがApple Eventsの権限要求を処理する際の論理エラーを利用しており、偽のアプリケーションを作成したり、Dockのショートカットを上書きする必要がありませんでした。この脆弱性は修正されましたが、システム権限管理の複雑さと潜在的なリスクを浮き彫りにしています。