Apple の iPhone／Mac／WebKit の脆弱性が FIX：３件のゼロデイを含む数十件の欠陥

Apple Patches 3 Exploited WebKit Zero-Day Vulnerabilities

2023/05/19 SecurityWeek — 5月19日にリリースされた、Apple のセキュリティ・アップデートにより、iPhone／Mac への攻撃で悪用される可能性のある、数十件の脆弱性が FIX した。その中には、ブラウザ・エンジンである WebKit に影響を及ぼす、３件のゼロデイ脆弱性も含まれている。積極的に悪用される脆弱性のうち、CVE-2023-28204／CVE-2023-32373 は、匿名の研究者たちが Apple に報告したものだ。これらの脆弱性の悪用に成功した攻撃者は、特別に細工された Web コンテンツを処理させる (悪意のサイトに誘導するなど) ことでユーザーを騙し、機密情報の漏えいや任意のコード実行を可能にするという。

現時点においては、これらのゼロデイ脆弱性を悪用した、具体的な攻撃の情報は得られていない。

Apple がアドバイザリで明らかにしたのは、これらの脆弱性に対しては、すでに最初の Rapid Security Response アップデートにより、具体的には iOS 16.4.1(a)／iPadOS 16.4.1(a)／macOS 13.3.1(a) により、パッチが適用されていたことである。

今回のアップデートでリリースされた iOS 16.5／iPadOS 16.5 では、CVE-2023-28204／CVE-2023-32373 が修正され、また、WebKit のゼロデイ脆弱性 CVE-2023-32409 も修正された。

CVE-2023-32409 は、Google TAG (Threat Analysis Group) と Amnesty International から Apple に報告されたものであり、商用スパイウェアで悪用された可能性が高いようだ。

先日に Google は、各種のスパイウェア・ベンダーと関連付けられる、複数の iOS／Android のエクスプロイトについて詳述した記事を公開している。

他にも、最新の iOS／iPadOS のアップデートでは、下記の脆弱性を含む 30 件以上の脆弱性にパッチが適用された。

セキュリティ・バイパス
サンドボックス・エスケープ
任意のコードの実行
位置情報などの、ユーザーデータの脆弱性の漏洩
権限昇格
アプリの終了
削除した写真の復元
システム構成ファイルへのアクセスの保持
ロック画面からの連絡先の漏洩
ファイルシステムの保護された箇所の改ざん

また、CVE-2023-28204／CVE-2023-32373 も、iOS／iPadOS 15.7.6 のリリースに伴い修正された。攻撃で悪用された WebKit の脆弱性は、Apple TV／Apple Watch／Safari でも修正されている。

最新の macOS Ventura アップデートでは、３つのゼロデイに加えて、下記を含む約 50 件の脆弱性が修正された。

機密情報の漏えい
任意のコード実行
DoS 攻撃
セキュリティ・バイパス
権限昇格

Apple は、macOS Monterey 12.6.6／Big Sur 11.7.7 のアップデートをリリースし、20 数件の脆弱性を修正したが、これらはゼロデイには該当しないという。

文中では２回目のパッチにより、CVE-2023-28204／CVE-2023-32373 が FIX したと記されていますが、これらの CVE は新たに採番されたものとのことです。お隣の、キュレーション・チームに聞いてみたら、5月25日付でレポートをアップしたとのことでした。最近の Apple に関する脆弱性としては、以下のものがあります。よろしければ、Apple で検索も、ご利用ください。

2023/04/08：Apple の深刻なゼロデイ脆弱性が FIX
2023/02/21：macOS／iOS で権限昇格の新たなバグ

Share this: