• ひとことでAppleのIOHIDFamilyで、細工したアプリに高い権限でコードを実行される弱点です。
  • 深刻度7.8 重要CVSS v3.1
  • まずやることiPhoneなどをiOS 8以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2014-4404
製品Apple OS X
深刻度（CVSS）7.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2022-02-10
米国政府機関の対応期限2022-08-10
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-119（メモリバッファの範囲の制限の不備）

何が起きた

Apple の製品の IOHIDFamily という部分に、メモリのあふれ（ヒープバッファオーバーフロー）の弱点が見つかり、実際に悪用が確認されています。キーの割り当ての設定を細工したアプリによって、攻撃者が高い権限で任意のコードを実行できるおそれがあります。NVD の評価では、機器の上で、利用者の操作があると悪用できる条件です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したアプリを用意する → 2. アプリがキーの割り当ての設定を渡す → 3. メモリがあふれる → 4. 高い権限でコードが実行される1攻撃者が細工したアプリを用意する2アプリがキーの割り当ての設定を渡す3メモリがあふれる4高い権限でコードが実行される攻撃の流れ: 1. 攻撃者が細工したアプリを用意する → 2. アプリがキーの割り当ての設定を渡す → 3. メモリがあふれる → 4. 高い権限でコードが実行される1攻撃者が細工したアプリを用意する2アプリがキーの割り当ての設定を渡す3メモリがあふれる4高い権限でコードが実行される攻撃の流れ: 1. 攻撃者が細工したアプリを用意する → 2. アプリがキーの割り当ての設定を渡す → 3. メモリがあふれる → 4. 高い権限でコードが実行される1攻撃者が細工したアプリを用意する2アプリがキーの割り当ての設定を渡す3メモリがあふれる4高い権限でコードが実行される

誰が影響を受ける

Apple によると、iOS 8 より前の iOS、Apple TV 7 より前の Apple TV、OS X Mountain Lion v10.8.5 と OS X Mavericks v10.9.5 が影響を受けます。

何をすればいい

Apple は iOS 8、Apple TV 7、OS X Yosemite v10.10.3 と Security Update 2015-004 でこの問題を修正しています。お使いの機器がそれ以降に更新されているか確認してください。詳しくは Apple の公式の案内を確認してください。

やることチェックリスト

  • iPhoneなどをiOS 8以降に更新する
  • Apple TVをApple TV 7以降に更新する
  • MacにSecurity Update 2015-004を適用する

用語メモ

ヒープバッファオーバーフロー 用語集で見る
プログラムが使うメモリの領域から、データがはみ出して書き込まれてしまう問題です。
IOHIDFamily
キーボードなどの入力機器を扱う、Apple の OS の中の部品です。

次に読む

同じ製品・メーカーの脆弱性Apple OS X（CVE-2015-1130）7.8 重要CVSS v3.1Apple OS Xで、正しい認証なしに管理者の権限を得られる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apple OS X Heap-Based Buffer Overflow Vulnerability

概要

Heap-based buffer overflow in IOHIDFamily in Apple OS X, which affects, iOS before 8 and Apple TV before 7, allows attackers to execute arbitrary code in a privileged context.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る