MacRumorsがmacOS High Sierraの現行バージョンに関するバグレポートを発見した。システム環境設定のApp Store設定画面で、〈どんな〉パスワードをタイプしてもロック解除できてしまう。Appleは次期macOS High Sierraアップデートのベータ版でこのバグをすでに修正していることが報告されている。

このバグは、悪名高きあのrootログインバグと比べてはるかに深刻ではないが、John Gruberが書いているように、これはかなり恥ずかしい。パスワードプロンプトとmacOSにいったい何が起きているのか？

自分で試してみたい人のために言うと、私はごく簡単に再現できた。システム環境設定を開き、App Store設定へ行き、南京錠アイコンを見る。ロックがはずれていたら、まずロックしてからやってみるとどんなパスワードでもロック解除できる。

この設定画面では、アプリとOSアップデートの自動ダウンロードとインストールの有効、無効を切り換えられる。直ちにセキュリティーに影響するリスクはない。しかし、何者かがパソコンに触って自動セキュリティーアップデートを無効にしていれば、本来パッチされるべき脆弱性が悪用される可能性はある。

デフォルトでApp Storte設定は管理者ユーザーにはロック解除されている。しかしセキュリティーに関して心配性の人なら、あらゆるシステム設定をロックして誰にも触られないようにしているかもしれない。

バグそのものより重要なのは、Appleが品質管理プロセスを見直すべきだということだ。恥ずかしいバグの入ったアップデートを配布するのはもうやめる時だ。
http://jp.techcrunch.com/2018/01/11/2018-01-10-another-macos-password-prompt-can-be-bypassed-with-any-password-2/