Apple が iPhone / iPad / Mac で悪用されているセロデイ脆弱性に対応

Apple fixes zero-day affecting iPhones and Macs, exploited in the wild

2021/07/26 BleepingComputer — Apple は、iPhone / iPad / Mac 上で広く悪用されたゼロデイ脆弱性に対して、セキュリティ・アップデートを公開した。この脆弱性 CVE-2021-30807 は、匿名の研究者により報告された IOMobileFramebuffer カーネル拡張におけるメモリ破壊の問題である。Apple は、iOS 14.7.1 / iPadOS 14.7.1 / macOS Big Sur 11.5.1 のメモリ処理を改善することで、アプリケーションがカーネル権限で任意のコードを実行するという、バグを修正した。影響を受けるデバイスのリストには、Mac / iPhone 6s 以降 / iPad Pro (全モデル) / iPad Air 2 以降 / iPad 第5世代以降 / iPad mini 4 以降 / iPod touch (第7世代) が含まれる。

Apple は、「この問題が積極的に悪用されている可能性がある、という報告を認識している」と、本日未明に公開されたセキュリティ・アドバイザリで述べている。Apple は、少なくとも1つの報告書において、CVE-2021-30807 の悪用を明らかにしているが、それらの攻撃に関する追加情報は発表していない。これまで、この情報が公開されなかったのは、脅威アクターたちが詳細を把握し、このゼロデイを積極的に悪用し始める前に、少しでも多くの iPhone / iPad / Mac にアップデートが行き渡るようにするための措置だと考えられる。

2021年に入ってから、Apple はゼロデイ脆弱性に対処するために、以下のセキュリティ・アップデートをリリースしてきた。

・2月:3件の iOS ゼロデイ (CVE-2021-1870 / CVE-2021-1871 / CVE-2021-1872) が悪用されていることが、匿名の研究者により報告された。
・3月:iOS のゼロデイ (CVE-2021-1879) が発生した。
・4月:iOS のゼロデイ (CVE-2021-30661) と macOS のゼロデイ (CVE-2021-30657) が発生し、Shlayer マルウェアに悪用される。
・5月:iOS のゼロデイが3件 (CVE-2021-30663 / CVE-2021-30665 / CVE-2021-30666) 発生し、悪意の Web サイトにアクセスするだけで、任意のリモートコードが実行される可能性が生じた。
・5月: macOS のゼロデイバグ (CVE-2021-30713) は XCSSET マルウェアに悪用される脆弱性であり、プライバシー保護の Apple TCC 保護機能の回避が生じた。
・6月:2つの iOS のゼロデイバグ (CVE-2021-30761 / CVE-2021-30762) が、古いiPhone / iPad / iPod デバイスにおいて積極的に利用された可能性がある。

先月、Amnesty International と Forbidden Stories は、イスラエルの監視ベンダーである NSO Group が製造したスパイウェアが、最新の iOS を搭載した iPhone で発見されたことを発表している。また、Project Zeroは、あるハッカーグループが1年間に、Windows / iOS / Android ユーザーを対象とした攻撃で、11件のゼロデイを利用したことを明らかにしている。

本文のリストを眺めてみると、Apple 製品にも、それなりのゼロデイ脆弱性が出ていることが分かります。それと、Amnesty International と Forbidden Stories の件ですが、ご興味のある方は「イスラエルのサイバー兵器企業がスパイウェアを各国政府に売っている?」というポストをご参照ください。このコメントを書きながら、自分の Mac を確認したら、まだ macOS Big Sur ではないので安心したり、Zoom クライアントとして頑張っている iPad mini 2 がセーフだったりで、ちょっとホッとしている朝です。

%d bloggers like this: