Apple fixes new WebKit zero-day exploited to hack iPhones, Macs
2023/02/13 BleepingComputer — Apple リリースした緊急セキュリティ・アップデートは、iPhone／iPad／Mac へのハッキング攻撃で使われる、新たなゼロデイ脆弱性に対処するものだ。今回のアップデートで修正されたゼロデイ脆弱性 CVE-2023-23529 [1, 2] は、WebKit の混乱を悪用し、侵害したデバイス上で OS クラッシュを誘発し、コード実行を許すものだ。
この脆弱性の悪用に成功した攻撃者は、iOS／iPadOS／macOS の脆弱なバージョンを実行しているデバイスで、悪意の Web ページを開かせた後に、任意のコード実行が可能になる。なお、この脆弱性は、macOS Big Sur／Monterey の Safari 16.3.1 にも影響する。
Apple は、「悪意を持って細工された Web コンテンツを参照すると、任意のコードを実行される可能性がある。この脆弱性に関しては、活発に悪用された可能性があるという報告を受けている」と述べている。
Apple は iOS 16.3.1／iPadOS 16.3.1／macOS Ventura 13.2.1 を改善し、この脆弱性 CVE-2023-23529 に対応した。
この脆弱性は新旧の新モデルに影響するため、影響を受けるデバイスは、以下のような広範に及ぶ。
- Macs running macOS Ventura
- iPhone 8 以降
- iPad Pro (全モデル)／iPad Air 第３世代以降／iPad 第５世代以降／iPad mini 第５世代以降
- macOS Ventura を搭載した Mac
また、今日のアップデートでは、Mac／iPhone の Kernel に存在する、解放済みメモリの使用の脆弱性 CVE-2023-23514 にもパッチが適用された。この脆弱性は、Pangu Lab の Xinru Chi と Google Project Zero の Ned Williamson により報告されたものであり、悪用に成功した攻撃者は、カーネル権限で任意のコード実行が可能になる。
Apple が今年初めてパッチを適用したゼロデイ
Apple は、脆弱性が野生で悪用されているという報告を受けたことを明らかにしたが、これらの攻撃に関する情報はまだ公表していない。
同社は、多くの攻撃者がこのゼロデイ脆弱性の詳細を把握し、脆弱な iPhone／iPad／Mac を標的とする独自のエクスプロイトを開発／展開する前に、できるだけ多くのユーザーがデバイスをアップデートできるように、脆弱性の情報を制限しているのだと思われる。
このゼロデイ脆弱性は、おそらく標的型攻撃にのみに使用されるものだ。しかし、潜在的な攻撃の試みを阻止するために、今日の緊急アップデートを可能な限り早急にインストールすることが強く推奨される。
先月に Apple は、Google Threat Analysis Group の Clément Lecigne が発見した、リモートで悪用可能なゼロデイ脆弱性に対するセキュリティ・パッチを、古い iPhone／iPad にバックポートしている。
2022/12/30 の「CISA KEV カタログの１年：悪用された脆弱性の半分は Adobe／Apple／Cisco／Microsoft」という記事を読むと、米国の連邦政府で使用されている Apple デバイスが、かなりの頻度で侵害されていることが分かります。ご利用の方は、早めにアップデートしてください。
2023/01/21：iOS デバイスにアドウェア Vastflux
2022/12/19：macOS の脆弱性 Achilles が FIX
2022/11/21：macOS サンドボックス・エスケープの脆弱性
2022/11/10：macOS／iOS のリモート・コード実行の脆弱性
IoT OT Security News 
You must be logged in to post a comment.