- ひとことでiPhone などの WebKit で、Web ページを開くだけでコードを動かされる弱点
- 深刻度8.8 重要CVSS v3.1
- まずやることiOS を 9.3.5 以降に更新する
基本情報（データから表示）
| CVE番号 | CVE-2016-4657 |
|---|---|
| 製品 | Apple iOS |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-05-24 |
| 米国政府機関の対応期限 | 2022-06-14 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-119（メモリバッファの範囲の制限の不備） |
何が起きた
Apple iOS の WebKit（Safari などが Web ページを表示するための部品）に、メモリを壊せてしまう弱点が見つかりました。細工した Web サイトを開くと、攻撃者が任意のコードを実行したり、アプリを止めたりできるおそれがあります。攻撃者はネットワーク経由でログインなしに狙えますが、利用者がそのサイトを開く必要があります。CISA が実際の悪用を確認しており、KEV の概要では WebKit を使う Apple 以外の製品にも影響する可能性があるとされています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
iOS 9.3.5 より前を使っている iPhone、iPad、iPod touch が対象です。Apple の情報では、iOS 9.3.5 は iPhone 4s 以降、iPad 2 以降、iPod touch（第5世代）以降に提供されています。
何をすればいい
iOS を 9.3.5 以降に更新しているか確認してください。この更新では、CVE-2016-4655 と CVE-2016-4656 もあわせて修正されています。WebKit を使う他社の製品を使っている場合は、それぞれのメーカーの公式の案内を確認してください。
やることチェックリスト
- iOS を 9.3.5 以降に更新する
- WebKit を使う他社製品の更新を確認する
- 知らない相手からのリンクを開かないようにする
用語メモ
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Apple iOS Webkit Memory Corruption Vulnerability
概要
Apple iOS WebKit contains a memory corruption vulnerability that allows attackers to execute remote code or cause a denial-of-service (DoS) via a crafted web site. This vulnerability could impact HTML parsers that use WebKit, including but not limited to Apple Safari and non-Apple products which rely on WebKit for HTML processing.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る