Apple patches another iOS zero-day under attack (CVE-2023-42824)
2023/10/05 HelpNetSecurity — Apple は、iOS／iPadOS 向けのセキュリティ・アップデートをリリースして、悪用が確認されているゼロデイ脆弱性 CVE-2023-42824 を修正した。この脆弱性はカーネルに存在し、影響を受ける iPhone／iPad におけるローカルの脅威アクターに対して、特権への昇格を許す可能性があるという。
Apple は、「この脆弱性が、iOS 16.6 以下で積極的に悪用されている可能性があるという報告を認識している」と述べている。
この脆弱性は、以下のデバイスに影響する：
- iPhone XS 以降
- iPad Pro 12.9 インチ 第２世代以降
- iPad Pro 10.5 インチ
- iPad Pro 11 インチ 第１世代以降
- iPad Air 第３世代以降
- iPad 第６世代以降
- iPad mini 第５世代以降
Apple は、iOS 17.0.3／iPadOS 17.0.3 のリリースで、この脆弱性に対処した。このアップデートでは、libvpx ビデオコーデック・ライブラリの vp8 エンコーディングにおける、バッファ・オーバーフローの脆弱性 CVE-2023-5217 もカバーされている。この脆弱性が悪用されると、任意のコード実行にいたる恐れがある。Apple は、libvpx 1.13.1 にアップデートすることで、このバッファ・オーバーフローの問題に対処した。
悪用されるゼロデイ
この１カ月の間に Apple は、活発に悪用されているゼロデイを多数修正した。
CVE-2023-41064／CVE-2023-41061 が連鎖的に悪用され、ハイリスクの iPhone ユーザーに対して、NSO Group のスパイウェア Pegasus が配信されていた。どちらの脆弱性も、Citizen Lab により報告され、iOS 16／iOS 15 で修正されている。
さらに９月の下旬には、Citizen Lab と Google TAG が、iOS に影響を及ぼす３つのゼロデイ脆弱性 CVE-2023-41992／CVE-2023-41991／CVE-2023-41993 を報告した。Intellexa のマルウェア Predator を標的の iOS デバイスに配信するエクスプロイト・チェーンで、これらのゼロデイ脆弱性が悪用されている。
Apple は iOS 17 で、一連の問題への対応を終えている。また、ハイリスク・ユーザーに対して、さらなる保護を提供するセキュリティ機能である、ロックダウン・モードでもアップデートが行われている。
いつの間にか、Apple のパッチ適用が、ものすごく早くなってきましたね。言うまでもなく、これが、いまのセキュリティ事情に合わせた、アップデートの展開だと思います。今回の libwebp と libvpx の脆弱性ですが、Google の勘違いもあり、ちょっととした混乱が生じましたが、先日には Microsoft Edge での対応も完了し、これで一段落という感じです。
IoT OT Security News 
You must be logged in to post a comment.