Apple – IoT OT Security News

Apple の RCE 脆弱性 CVE-2024-1580 が FIX：iOS／macOS での悪用を証明する PoC もリリース

Apple Patches Code Execution Vulnerability in iOS, macOS

2024/03/26 SecurityWeek — Apple がリリースしたのは、任意のコード実行の脆弱性を解決するための、iOS／macOS デバイス向けのセキュリティ・アップデートである。この脆弱性 CVE-2024-1580 は、境界外書き込みにつながる整数オーバーフローと説明されており、iOS／macOS の CoreMedia および WebRTC コンポーネントに影響を与えるものであり、画像処理中にトリガーされる可能性があるという。

iPhone／iPad の脆弱性 CVE-2024-23225／23296 が FIX：危険なゼロデイ CISA KEV 登録

CVE-2024-23225 & CVE-2024-23296: Apple Patches Actively Exploited 0-Day Flaws

2024/03/05 SecurityOnline — iPhone／iPad ユーザーに対して、深刻なセキュリティ警告が発出された。Apple は、２つのゼロデイ脆弱性 CVE-2024-23225／CVE-2024-23296 を修正する緊急パッチを配布したが、すでに攻撃が始まっているという。この脆弱性を積極的に悪用するハッカーが、Apple デバイスを制御しているという。

macOS の権限昇格の脆弱性 CVE-2023-42942：PoC エクスプロイトが公開

PoC Released for CVE-2023-42942 – a macOS Root Privilege Escalation Vulnerability

2024/03/01 SecurityOnline — root 権限の昇格に悪用される可能性のある、macOS Sonoma の脆弱性 CVE-2023-42942 の技術詳細および PoC エクスプロイト・コードが、セキュリティ研究者により公開された。

Apple Shortcuts の脆弱性 CVE-2024-23204 が FIX：ただちにパッチ適用を！

Apple Shortcuts Vulnerability (CVE-2024-23204): Technical Analysis and Mitigation

2024/02/22 SecurityOnline — 先日にパッチが適用された、Apple の自動化フレームワークである Shortcuts の脆弱性 CVE-2024-23204 は、macOS／iOS デバイスに重大なリスクをもたらすものだ。影響を受けるシステムは、Apple の TCC (Transparency, Consent, and Control) フレームワークをバイパスする可能性があるため、データ流出が発生する可能性が高くなる。

GoldPickaxe は iOS トロイの木馬：APAC のバンキングを狙っている

iOS Trojan Collects Face and Other Data for Bank Account Hacking

2024/02/19 SecurityWeek — 被害者の銀行口座から現金を盗む際に必要とされる、情報を取得するために設計された新しい iOS トロイの木馬を、中国のサイバー犯罪グループが配布していることを、サイバーセキュリティ企業 Group-IB の研究者たちが発見した。この GoldFactoryとして追跡されているマルウェアは、2023年に発見されたものであり、APAC 地域を標的としていると推測され、現在までにタイやベトナムで攻撃が行われているようだ。

iOS の脆弱性 CVE-2024-23208 に PoC がリリース：検証目的であり攻撃は発生しない

CVE-2024-23208 Exposed: A PoC Tool Unveils iOS Kernel Flaw

2024/02/04 SecurityOnline — Apple iOS 17.3 で修正された、カーネルの脆弱性 CVE-2024-23208 に対する PoC ツールを、ある研究者が公開した。この脆弱性 CVE-2024-23208 (CVSS：7.8) は、アプリケーションによりカーネル特権での任意のコード実行にいたるというものであり、デバイスのセキュリティに深刻な結果をもたらす可能性を持つものだ。

Apple macOS／iOS／tvOS のゼロデイ脆弱性 CVE-2024-23222 が FIX：悪用を観測

Apple fixes first zero-day bug exploited in attacks this year

2024/01/22 BleepingComputer — Apple は、セキュリティ・アップデートをリリースし、iPhone／Mac／Apple TV に影響を与える可能性があり、また、すでに攻撃で悪用されている、2024年初のゼロデイ脆弱性に対処した。1月22日に修正されたゼロデイ脆弱性 CVE-2024-23222 (iOS／macOS／tvOS) は、WebKit のタイプ・コンフュージョンの欠陥に起因し、標的デバイス上でのコード実行を攻撃者にゆるす可能性があるものだ。

Apple AirDrop のデバイス・ログの解読方法を中国が発見：ユーザーの電話番号などが特定可能に

China claims it cracked Apple’s AirDrop to find numbers, email addresses

2024/01/09 BleepingComputer — 中国の国営研究機関が発見したのは、Apple AirDrop 機能におけるデバイス・ログの解読方法だ。同機関は、この手法により、コンテンツを共有したユーザーの電話番号やメールアドレスを、政府が特定できるようになったと主張している。中国は以前から、国民に対する規制を行ってきた。同国が実施してきた規制策としては、モバイル・アプリへのアクセス・ブロックの Apple への要求がある。また、Signal などの暗号化されたメッセージング・アプリのブロックや、Great Firewall of China による中国国内での Web サイト閲覧規制なども挙げられる。

CISA KEV 警告 24/01/08： Apache／Adobe／Apple などの脆弱性が追加

CISA Adds Apache Superset Bug To Its Known Exploited Vulnerabilities Catalog

2024/01/09 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Apache Superset の脆弱性 CVE-2023-27524 (CVSS：9.8)などをKnown Exploited Vulnerabilities (KEV) カタログに追加した。Apache Superset は、Pythonで書かれたオープンソースのプロダクトであり、Flask Web フレームワークをベースにした、データ可視化とデータ探索のためのプラットフォームである。2022年4月に Horizon3 の研究者たちは、Apache Superset に存在するリモートコード実行を発見した。

iOS／macOS の脆弱性 CVE-2023-41974：PoC エクスプロイトが登場

$70K Bounty for Revealing CVE-2023-41974 Flaw, PoC Published

2024/01/03 SecurityOnline — iOS／macOS の脆弱性 CVE-2023-41974 の PoC (Proof-of-concept) エクスプロイト・コードが公開された。この脆弱性は、Apple OS のカーネルにおける、解放済みメモリの使用の深刻な問題を明らかにしている。この脆弱性が悪用されると、カーネル特権で任意のコードを実行するための自由なアクセスを、アプリケーションに与える可能性があるという。

Apple iOS／macOS の深刻な脆弱性が FIX：ゼロデイ対応も含まれる

Apple Releases Security Updates to Patch Critical iOS and macOS Security Flaws

2023/12/12 TheHackerNews — 12月1日に Apple は、iOS／iPadOS／macOS／tvOS／watchOS／Safari のセキュリティ・パッチをリリースし、複数の脆弱性に対処した。さらに、先日に公開された２つのゼロデイ脆弱性についても、古いデバイスへのバックポートを行った。それらの中には、iOS／iPadOS の AVEVideoEncoder／ExtensionKit／Find My／ImageIO／Kernel／Safari Private Browsing／WebKit における、12件の脆弱性に対するアップデートも含まれる。なお、macOS Sonoma 14.2 に関しては、ncurses ライブラリに影響を及ぼす６件のバグを含む 39件の脆弱性を解決している。

Apple によるデータ漏洩調査：End-to-End 暗号化の必要性を強調

Apple Commissions Data Breach Study to Highlight Need for End-to-End Encryption

2023/12/07 SecurityWeek — Apple が委託した調査により、過去２年間にわたるデータ漏洩の結果が分析され、推定で 26億件の個人記録が漏洩していたことが判明した。同社は、End-to-End 暗号化 (E2EE：end-to-end encryption) の必要性を訴えている。この “The Continued Threat to Personal Data: Key Factors Behind the 2023 Increase” という調査は、MIT の Stuart Madnick 教授により実施されたものであり、過去１年間に発生した主なデータ漏洩を精査し、いくつかの傾向を明らかにしている。

Apple iOS／macOS の２件のゼロデイ脆弱性が FIX：APT による悪用を観測？

Apple Addressed 2 New Ios Zero-Day Vulnerabilities

2023/11/30 SecurityAffairs — Apple の iPhone／iPad／Mac デバイスに影響を及ぼす、２件のゼロデイ脆弱性に対する緊急のセキュリティ・アップデートがリリースされた。この２件の脆弱性は、WebKit ブラウザ・エンジンに存在し、野放し状態の攻撃で積極的に悪用されている。

Passkeys の導入が拡大：2024年はイケイケでさらに加速？

How passkeys are reshaping user security and convenience

2023/11/28 HelpNetSecurity — この Help Net Security のインタビューは、1Password の Head of Passwordless である Anna Pobletts が、Passkeys の導入と 2024年のその加速について語ったものだ。この傾向は、特にフィンテックや銀行などの規制の厳しいサービスにおいて顕著になっており、それらのユーザーはシンプルで馴染みのあるサインイン体験を求めている。Anna Pobletts は、パスワードレス認証がヘルプデスクや IT リソースの負担を軽減する方法と、ビジネスの加速／増収などの、より差し迫った問題に対して、時間とエネルギーを注ぐための方法についても述べている。

iLeakage というサイドチャネル攻撃：Apple A／M Series 上の Safari から機密情報を抽出

iLeakage: New Safari Exploit Impacts Apple iPhones and Macs with A and M-Series CPUs

2023/10/26 TheHackerNews — iLeakage と呼ばれる新しいサイドチャネル攻撃を、ある研究者グループが考案した。それは、Apple iOS／iPadOS／macOS デバイスで動作する A／M Series CPU の脆弱性を悪用して、Safari から機密情報を抽出するものだ。この最新の研究について、研究者である Jason Kim／Stephan van Schaik／Daniel Genkin／Yuval Yarom は、「攻撃者は Safari に任意の Web ページを表示させ、投機的実行を使用して、その中に存在する機密情報を抽出することが可能になる」と述べている。

Apple iOS ゼロデイを狙う Triangulation：巧妙な手口と検出回避のテクニックとは？

iOS Zero-Day Attacks: Experts Uncover Deeper Insights into Operation Triangulation

2023/10/24 TheHackerNews — Apple iOS デバイスを標的とする TriangleDB というインプラントは、少なくとも４種類のモジュールを搭載するようだ。その内容は、マイクの録音／iCloud Keychain の抽出／SQLite データベースからのデータの窃取／位置情報の窃取などと推定されている。この Operation Triangulation と名付けられたキャンペーンを操る敵対者は、侵害したデバイスから機密情報を密かに盗み出す一方で、その痕跡を隠蔽するために多大な労力を費やしたと、Kaspersky は詳述している。

Apple iOS のゼロデイ CVE-2023-42824 が FIX：バージョン 17.0.3 で対応

Apple patches another iOS zero-day under attack (CVE-2023-42824)

2023/10/05 HelpNetSecurity — Apple は、iOS／iPadOS 向けのセキュリティ・アップデートをリリースして、悪用が確認されているゼロデイ脆弱性 CVE-2023-42824 を修正した。この脆弱性はカーネルに存在し、影響を受ける iPhone／iPad におけるローカルの脅威アクターに対して、特権への昇格を許す可能性があるという。

Google Chrome のゼロデイ CVE-2023-5217 が FIX：スパイウェアによる悪用を確認

Google fixes fifth actively exploited Chrome zero-day of 2023

2023/09/27 BleepingComputer — 9月27日にリリースされた緊急セキュリティ・アップデートで Google は、今年に入ってから攻撃に悪用された５番目の、Chrome のゼロデイ脆弱性にパッチを適用した。Google のアドバイザリには、「脆弱性 CVE-2023-5217 の悪用が、野放し状態で攻撃されていることを認識している」と記されている。このセキュリティの脆弱性は、Google Chrome 117.0.5938.132 で対処され、Windows／Mac／Linux ユーザー向けの Stable Desktop チャネルを介して、全世界に展開される。

Microsoft の Passkeys 展開：9月26日から Windows 11 で正式に始動

Microsoft is Rolling out Support for Passkeys in Windows 11

2023/09/26 TheHackerNews — 今日から Microsoft は、デスクトップ OS のメジャー・アップデートの一環として、Windows 11 で Passkeys のサポートを正式に展開する。この機能によりユーザーは、ID／PW を入力することなく、代わりにデバイスの暗証番号や生体情報を用いてステップを完了し、Web サイトやアプリケーションにログインできるようになる。FIDO 標準に基づく Passkeys は、2022年5月に初めてパスワードの代替になるものとして発表され、フィッシングに強いとされている。その後に Apple や Google に採用され、また、この数カ月の間に他のサービスでも採用されている。

iOS／Android のゼロデイを悪用：エジプトの野党指導者を狙った MitM 攻撃が発覚

Predator Spyware Delivered to iOS, Android Devices via Zero-Days, MitM Attacks

2023/09/25 SecurityWeek — Google の Threat Analysis Group によると、iOS／Chrome のゼロデイ脆弱性の悪用と中間者攻撃 (MitM) により、Predator スパイウェアが iPhone／Android デバイスに配信されているという。先週に Apple が通知したのは、脆弱性 CVE-2023-41991 (署名検証バイパス)／CVE-2023-41992 (ローカル特権の昇格)／CVE-2023-41993 (悪意の Web ページを介した任意のコード実行) という３つのゼロデイにして、パッチが適用されたことである。Apple は、iOS／macOS などのソフトウェアの脆弱性を修正したが、その一方で、悪用を認識しているのは、iOS のバージョン 16.7 以前のデバイスのみだと指摘していた。

GitHub の Passkeys サポートが始動：Apple／Google／Microsoft と協調

GitHub passkeys generally available for passwordless sign-ins

2023/09/21 BleepingComputer −−− 9月21日に GitHub が公開した Passkeys により、すべてのユーザーのパスワードレス・ログインが、このプラットフォーム全体で利用可能となり、フィッシングからアカウントが保護されるようになる。Passkeys は、コンピューター／タブレット／スマートフォンなどのデバイスにリンクされ、フィッシング攻撃からの保護や、不正アクセスの阻止を提供することで、データ漏洩のリスクを低減するという重要な役割を担っている。また、Passkeys は、暗証番号や指紋／顔認証などの生体認証といった、個人識別方法を通じて、アプリやオンライン・サービスへのアクセスを容易にする。

Apple が３件のゼロデイ脆弱性を FIX：攻撃での積極的な悪用を確認

Apple emergency updates fix 3 new zero-days exploited in attacks

2023/09/21 BleepingComputer — Apple は、iPhone／Mac ユーザーを狙った攻撃で悪用された、新たなゼロデイ脆弱性３件を修正する緊急セキュリティアップデートをリリースした。今年に入ってから修正されたゼロデイ脆弱性は、これで合計16件となった。２つのバグは、WebKit ブラウザエンジンに存在する CVE-2023-41993 と、Security フレームワークに存在する CVE-2023-41991 である。悪意のアプリを用いた署名検証の回避や、細工された Web ページを介した任意のコード実行にいたる恐れがあるという。

Linux／macOS の ncurses ライブラリの深刻な脆弱性：Microsoft が詳細レポートを公表

Microsoft Uncovers Flaws in ncurses Library Affecting Linux and macOS Systems

2023/09/14 TheHackerNews — プログラミング・ライブラリである ncurses (new curses の略) で、メモリ破壊の脆弱性が発見された。その影響が及ぶ Linux／macOS システム上で、悪意のコード実行を試みる、脅威行アクターたちに悪用される可能性があるという。Microsoft Threat Intelligence の研究者である Jonathan Bar Or と Emanuele Cozzi と Michael Pearse は、「環境変数ポイズニングを使用する攻撃者は、これらの脆弱性を連鎖させて特権を昇格させ、標的のプログラム・コンテキストによるコード実行や、悪意のアクションを引き起こす可能性がある」と、今日に発表されたテクニカルレポートの中で述べている。

CISA KEV 警告 23/09/11：Apple のゼロデイ CVE-2023-41064 など

CISA Adds Recently Discovered Apple Zero-Days To Known Exploited Vulnerabilities Catalog

2023/09/11 SecurityAffairs −−− 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、iMessage ゼロクリック攻撃で悪用される脆弱性 BLASTPASS を、KEV (Known Exploited Vulnerabilities Catalog) カタログに追加した。これらのゼロデイ脆弱性 CVE-2023-41064／CVE-2023-41061 は、Image I/O および Wallet フレームワークに存在し、iPhone に NSO Group の Pegasus スパイウェアをインストールするために悪用されていた。

Apple にゼロデイ CVE-2023-41064／CVE-2023-41061：スパイウェアが狙っている

Apple discloses 2 new zero-days exploited to attack iPhones, Macs

2023/09/07 BleepingComputer — Apple がリリースした緊急のセキュリティ・アップデートは、iPhone／Mac ユーザーを狙う攻撃で悪用されている、２つの新たなゼロデイ脆弱性を修正するものだ。同社のアドバイザリには、「Apple は、この問題が積極的に悪用された可能性があるという報告を認識している」と記されている。それぞれの脆弱性は、Walletフレームワークの CVE-2023-41061 と、Image I/O の CVE-2023-41064 である。

OfficeNote アプリを装う XLoader：野放し状態で macOS ユーザーを攻撃中

Bogus OfficeNote app delivers XLoader macOS malware

2023/08/23 HelpNetSecurity — 既知のマルウェアである XLoader の macOS 対応の亜種が、”OfficeNote” アプリを装いながら配信されている。SentinelOne の研究者たちは、「XLoader マルウェアのサンプルは、７月を通じて VirusTotal に投稿され続けており、野放し状態で広範に配布されていることが示される」と述べている。2015年から活動している XLoader は Malware-as-a-Service 型の情報スティーラー／ボットネットであり、2021年に Java で書かれた macOS 亜種が登場した。

VPN 製品の大半に影響：TunnelCrack 攻撃でトラフィック・リークにいたる脆弱性とは？

Almost all VPNs are vulnerable to traffic-leaking TunnelCrack attacks

2023/08/14 HelpNetSecurity — 世の中に出回っている大半の VPN 製品に影響を及ぼす複数の脆弱性が、攻撃者に悪用されていることが、研究者たちにより発見された。その悪用に成功した攻撃者たちにより、トラフィック盗聴／情報窃取／デバイス攻撃などが行われる可能性があるという。ニューヨーク大学の Nian Xue と、ニューヨーク大学アブダビ校の Yashaswi Malla／Zihang Xia／Christina Pöpper、そして、KU ルーヴェン大学の Mathy Vanhoef は、「私たちが検証した攻撃方式では、コンピューティング・コストが掛からないため、適切なネットワークア・クセスさえあれば誰もが実行可能であり、それぞれの環境で用いられている VPN プロトコルには非依存である」と主張している。

Google が提案する WEI API：大反対する Vivaldi／Brave／Firefox などの言い分は？

Browser developers push back on Google’s “web DRM” WEI API

2023/07/29 BleepingComputer — Google が Chrome に対して、WEI (Web Environment Integrity) API を導入するという計画は、ユーザーの自由を制限し、オープン Web の基本原則を損なうものだと、インターネット・ソフトウェア開発者から激しい反発を受けている。Vivaldi／Brave／Firefox の従業員たちは、この Google が提案する標準に対して強い反対の姿勢を示しており、Web サイトの DRM (デジタル著作権管理) とまで言う人もいる。

Apple が大規模なセキュリティ・アップデートを実施：カーネルの脆弱性 CVE-2023-38606 などが FIX

Apple Patches Another Kernel Flaw Exploited in ‘Operation Triangulation’ Attacks

2023/07/24 SecurityWeek — 7月24日に Apple は、同社の主力プラットフォームである iOS／macOS／iPadOS に対して、大規模なセキュリティ・アップデートを行なった。今回のアップデートには、iOS／macOS におけるコード実行の深刻な脆弱性に対するパッチも含まれている。また、Apple によると、iOS／iPadOS／macOS 搭載デバイスに影響する、カーネルの脆弱性 CVE-2023-38606 は、iOS 15.7.1 以下において、すでに活発に悪用されていたという。

Apple が Rapid Security Response (RSR) アップデートを提供：ゼロデイ CVE-2023-37450 に対応

Apple releases emergency update to fix zero-day exploited in attacks

2023/07/10 BleepingComputer — Apple が Rapid Security Response (RSR) アップデートの新ラウンドを発行したのは、完全にパッチが適用された iPhone／Mac／iPad への攻撃で悪用されている、新たなゼロデイバグに対処するためである。この、匿名のセキュリティ研究者により報告された CVE-2023-37450 の脆弱性について、iOS と macOS のアドバイザリには、「Apple は、この問題が活発に悪用されている可能性があるという報告を認識している」と記されている。

macOS ユーザーを狙う RustBucket マルウェア亜種：特異な永続性メカニズムを装備

Beware: New ‘RustBucket’ Malware Variant Targeting macOS Users

2023/07/01 TheHackerNews — 研究者たちが発見したのは、永続性を確立し、セキュリティ・ソフトウェアによる検出を回避する機能を備えた、RustBucket と呼ばれる macOS マルウェアの更新バージョンだ。Elastic Security Labs の研究者たちは、6月29日に公開されたレポートで、「macOS システムを標的とするマルウェア・ファミリーである RustBucket の亜種は、Command-and-Control (C2) のための動的ネットワーク・インフラ手法を活用し、これまで観測されていなかった永続化機能が追加されている」と説明している。

Apple が iOS／macOS／Safari のゼロデイ脆弱性に対応：ゼロクリックで RCE という強敵

Apple addressed actively exploited zero-day flaws in iOS, macOS, and Safari

2023/06/22 SecurityAffairs — Apple は、iOS／iPadOS／macOS／watchOS／Safari で発見された脆弱性のうち、野放し状態で活発に悪用されている脆弱性に対処した。具体的に言うと、先日に公開された Triangulation オペレーションでも悪用されていた、セロデイ脆弱性 CVE-2023-32434／CVE-2023-32435 である。Kaspersky の研究者たちは、Triangulation オペレーションを調査し、iOS デバイスにスパイウェアを配信するために採用された、エクスプロイト・チェーンに関する詳細を発見した。6月の上旬に Kaspersky の研究者たちは、Triangulation という名の長期的なキャンペーンの一環として、ゼロクリックのエクスプロイトで iOS デバイスを標的にする未知の APT グループを発見している。

Google Chrome と脆弱性：この Web ブラウザは安全に使えるのか？

Chrome and Its Vulnerabilities – Is the Web Browser Safe to Use?

2023/06/21 SecurityWeek — 多くの主要なアプリケーションと同様に、Google Chrome も、その脆弱性に悩まされている。2022年に SecurityWeek が報告した Chrome の脆弱性は、456件 (１ヶ月あたり 38件) にのぼるが、その中には９件のゼロデイも含まれる。パッチが必要な脆弱性の多い Chrome は、はたして安全なのだろうかという、素朴な疑問を投げかける。

iOS の iMessage を侵害するゼロクリック攻撃：ロシアが米情報機関を非難している

Russia Blames US Intelligence for iOS Zero-Click Attacks

2023/06/01 SecurityWeek — 2023年6月1日に、ロシアに本拠を置く Kaspersky は、企業ネットワーク内の iOS デバイスに対して、ゼロクリックの iMessage エクスプロイトを仕掛ける APT アクターを発見したと発表した。同じ日に、ロシアの連邦保安庁 (FSB：Federal Security Service) も、国内の契約者や外国公館が所有する数千台の iOS デバイスを標的とした、スパイ・キャンペーンが進行していることについて、米国の情報機関を非難した。ソ連の KGB を引き継いだ、ロシアのセキュリティ機関 FSB は、NATO 諸国／中国／イスラエル／シリアに赴任する外交官の iPhone が、”米国の諜報機関による偵察オペレーション” により感染したと主張している。

Apple macOS における SIP バイパスの脆弱性：Ventura／Monterey／Big Sur に影響

Microsoft Details Critical Apple macOS Vulnerability Allowing SIP Protection Bypass

2023/05/31 TheHackerNews — Apple macOS における、すでに修正済の脆弱性の詳細を、Microsoft が発表した。この脆弱性が、root アクセス権を持つ脅威アクターにより悪用されると、影響を受けるデバイス上でセキュリティを回避され、任意のアクションを実行される可能性があるという。

CISA KEV 警告 23/05/22：iPhone／iPad／Mac の３つの脆弱性を追加

CISA adds iPhone bugs to its Known Exploited Vulnerabilities catalog

2023/05/22 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、iPhone／iPad／Mac に影響を及ぼす３件のつのゼロデイ脆弱性を Known Exploited Vulnerabilities (KEV) カタログに追加した。この３つの問題は、WebKit ブラウザ・エンジンに存在する、脆弱性 CVE-2023-32409／CVE-2023-28204／CVE-2023-32373 となる。

Apple の iPhone／Mac／WebKit の脆弱性が FIX：３件のゼロデイを含む数十件の欠陥

Apple Patches 3 Exploited WebKit Zero-Day Vulnerabilities

2023/05/19 SecurityWeek — 5月19日にリリースされた、Apple のセキュリティ・アップデートにより、iPhone／Mac への攻撃で悪用される可能性のある、数十件の脆弱性が FIX した。その中には、ブラウザ・エンジンである WebKit に影響を及ぼす、３件のゼロデイ脆弱性も含まれている。積極的に悪用される脆弱性のうち、CVE-2023-28204／CVE-2023-32373 は、匿名の研究者たちが Apple に報告したものだ。これらの脆弱性の悪用に成功した攻撃者は、特別に細工された Web コンテンツを処理させる (悪意のサイトに誘導するなど) ことでユーザーを騙し、機密情報の漏えいや任意のコード実行を可能にするという。

Cobalt Strike の Golang 亜種が登場：Apple macOS を狙う中国の APT とは？

Hackers Using Golang Variant of Cobalt Strike to Target Apple macOS Systems

2023/05/16 TheHackerNews — Golang で実装された Geacon という名の Cobalt Strike 亜種が、Apple macOS システムをターゲットとする脅威アクターたちの注目を集める可能性があるという。VirusTotal に掲載される Geacon ペイロードの数が、この数カ月で増加していることを確認した SentinelOne が調査結果を発表した。セキュリティ研究者である Phil Stokes と Dinesh Devadoss はレポートの中で、「これらのペーロードには、レッドチーム・オペレーションで使用されたものもあると思われるが、本物の悪意あ攻撃の特徴を持つものもある」と述べている。

Apple App Store の 2022年の戦い：ブロックした悪質なアプリは 170万件！

Apple blocked 1.7 million apps for privacy, security issues in 2022

2023/05/16 BleepingComputer — Apple App Store チームは 2022年に、プライバシー／セキュリティ／コンテンツ・ポリシーに違反した約170万件のアプリをブロックし、不正の可能性があるとタグ付けされた $2 billion 以上の取引を阻止した。また、アカウント詐欺を撃退するための、不正行為に対する継続的な取り組みの一環として、顧客アカウント 2億8200万件の無効化、および、1億500万件のデベロッパー・アカウント作成のブロック、42万8000件のデベロッパー・アカウントの停止を実施した。

Google の Passkey：すべてのアカウントで安全なパスワードレス・サインインを実現

Google adds passkeys support for passwordless sign-in on all accounts

2023/05/03 BleepingComputer — Google は、すべてのサービスとプラットフォームにおいて、Passkey for Google Accounts のサポートを展開している。それにより、ユーザーはログイン時に、パスワードの入力や、2-Step Verification (2SV) に頼ること無く、Google アカウントにサインインできるようになる。Google の Product Managers である Christiaan Brand と Sriram Karra は、「私たちは、すべての主要なプラットフォームで、Google アカウント全体に対する Passkey のサポートを開始した。これにより、ユーザーは Google サービス全体で Passkey を活用し、パスワード不要のサインイン・エクスペリエンスを実現できるようになった」と述べている。

Apple と Google が連携：AirTags 悪用などによる不正追跡を排除するスタンダードとは？

Apple and Google Join Forces to Stop Unauthorized Tracking Alert System

2023/05/03 TheHackerNews — Apple と Google が連携して取り組み始めたのは、たとえば AirTags のようなデバイスが悪用され、ユーザーの知らないうちに追跡されている場合に警告し、安全上のリスクを取り除くための仕様のドラフトである。両社は共同声明で、「この業界初の仕様により、Bluetooth 位置追跡デバイスは、Android／iOS プラットフォームにおいて、不正な追跡の検出と警告の対象になる」と述べている。

LockBit が macOS 用のマルウェアを開発：サンプルが検出されたが完成度は？

Researchers Discover First Ever Major Ransomware Targeting macOS

2023/04/19 DarkReading — 悪名高い LockBit ランサムウェア・グループが、macOS デバイス用のマルウェアを開発した。これは、主要なランサムウェア・グループが、Apple の領域に踏み込む初めてのケースになる。LockBit は、世界で最も多発する Ransomware-as-a-service (RaaS) オペレーターの１つであり、注目を集める攻撃／洗練された悪意のプログラム／グレードAの PR などで知られている。

Android アプリ侵害：$20K で機能満載のハッキング・ツールが購入できる時代

Apps for Sale: Cybercriminals Sell Android Hacks for Up to $20K a Pop

2023/04/11 DarkReading — サイバー犯罪者たちは、Google Play ストアのセキュリティを回避する手段を見つけ出し、既存の Android アプリをトロイの木馬化するツールを開発している。それらのツールの最高値は、サイバー犯罪市場で１件あたり $20,000 だという。Kaspersky の研究者たちは、4月10日のブログ記事で、最も人気のあるダークウェブ・フォーラムの９つを幅広く調査した結果を発表した。2019年と2023年の活動を追跡したところ、アプリ開発者アカウントへのアクセス／ボットネット／悪意の Android アプリなどを、時には一度に数千ドルで取引される市場が盛んであることが判明した。

CISA KEV 警告 23/04/10：iPhone／Mac のバグを悪用する商用スパイウェア

CISA orders govt agencies to update iPhones, Macs by May 1st

2023/04/10 BleepingComputer — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、iPhone／Mac／iPad の存在し野放し常態で悪用されている、２つの脆弱性にパッチ適用するよう連邦政府機関に命じた。2022年11月に発行された拘束力のある運用指令 (BOD 22-01) によると、CISA の KEV (Known Exploited Vulnerabilities) カタログに追加された全てのセキュリティバグに対して、連邦民間行政機関 (FCEB) はパッチを適用することが求められている。

Apple の深刻なゼロデイ脆弱性が FIX：iOS／iPadOS／macOS で活発に悪用されている

Apple Releases Updates to Address Zero-Day Flaws in iOS, iPadOS, macOS, and Safari

2023/04/08 TheHackerNews — 2023年4月7日 (金) に Apple は、iOS／iPadOS／macOS および、Web ブラウザ Safari のセキュリティ・アップデートをリリースし、野放し常態で悪用されている２つのゼロデイ脆弱性に対処した。Apple は、１つ目の脆弱性 CVE-2023-28205 はメモリ管理の欠陥であり、２つ目の脆弱性 CVE-2023-28206 は入力検証の欠陥である。同社は、それぞれの脆弱性に対処した上で、活発に悪用された可能性があると認めている。

MacStealer という新たな macOS マルウェア：iCloud Keychain からパスワードを窃取

New MacStealer macOS malware steals passwords from iCloud Keychain

2023/03/27 BleepingComputer — Mac ユーザーを標的とする、MacStealer とう名の新たな情報スティーラー・マルウェアが、iCloud KeyChain や Web ブラウザに保存されている認証情報や暗号通貨ウォレットなどの、機密ファイルなどを窃取しているようだ。この MacStealer は、Malware-as-a-Service (MaaS) として配布されており、開発者はプレメイドのビルドを $100 で販売し、購入者はキャンペーンでマルウェアを拡散している。Uptycs 脅威研究チームが発見した MacStealer は、macOS Catalina 10.15 〜 Ventura 13.2 の環境で動作するという。

Microsoft／Google／Apple を悩ませたゼロデイ脆弱性： 2022年の統計結果を見てみよう

2022 witnessed a drop in exploited zero-days

2023/03/21 HelpNetSecurity — 2022年に悪用されたゼロデイ脆弱性は 55件であり、2021年の 81件から減少しており、最も狙われたのは Microsoft／Google／Apple の製品だった。この 55件のうち 53件が、脆弱なデバイス上での攻撃者による特権昇格やリモートコード実行につながるものだと、Mandiant の最新レポートは明らかにしている。

macOS／iOS で権限昇格の新たなバグ：Pegasus スパイウェアの二の舞はゴメンだ！

New Privilege Escalation Bug Class Found on macOS and iOS

2023/02/21 InfoSecurity — Trellix のサイバー・セキュリティ研究者たちが、macOS／iOS に存在する６つの脆弱性と、新しいバグクラスに関する調査結果を発表した。今日の未明に公開された同社のアドバイザリでは、新しいクラスの権限昇格の脆弱性は、NSO Group のモバイル・マルウェア Pegasus を展開するために macOS／iOS の機能を悪用した、ForcedEntry 攻撃に基づくものだと述べられている。

CISA KEV 警告 23/02/14：Windows／Office／iOS の脆弱性を悪用リストに追加

CISA warns of Windows and iOS bugs exploited as zero-days

2023/02/16 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、サイバー攻撃において野放し状態で悪用される脆弱性４件をバグリストに追加した。そのうち２件は、Microsoft 製品に影響するものだ。パッチ未適用の Windows システム上で、Common Log File System Driver やグラフィック・コンポーネントの脆弱性の悪用に成功した攻撃者に対して、リモート実行 (CVE-2023-21823) および特権昇格 (CVE-2023-23376) を許してしまう。

iPhone／iPad／Mac の新たなゼロデイ CVE-2023-23529 などが FIX

Apple fixes new WebKit zero-day exploited to hack iPhones, Macs

2023/02/13 BleepingComputer — Apple リリースした緊急セキュリティ・アップデートは、iPhone／iPad／Mac へのハッキング攻撃で使われる、新たなゼロデイ脆弱性に対処するものだ。今回のアップデートで修正されたゼロデイ脆弱性 CVE-2023-23529 [1, 2] は、WebKit の混乱を悪用し、侵害したデバイス上で OS クラッシュを誘発し、コード実行を許すものだ。