CVEノート

最近の脆弱性 › CVE-2019-7286

Apple Multiple Products の範囲外書き込みの脆弱性（CVE-2019-7286）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2019-7286
製品Apple Multiple Products
深刻度（CVSS）7.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2022-05-23
米国政府機関の対応期限2022-06-13
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-787

何が起きた

Apple の iOS、macOS、tvOS、watchOS の Foundation という部分に、メモリー破壊の弱点が見つかりました。悪意のあるアプリが、本来より強い権限を手に入れられるおそれがあります（権限昇格）。NVD の評価では、対象の機器の上で（ローカルで）悪用され、特別な権限は不要ですが、利用者の操作が必要とされています。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 悪意のあるアプリが機器で動く → 2. Foundation のメモリー破壊の弱点を突く → 3. より強い権限を手に入れる1悪意のあるアプリが機器で動く2Foundation のメモリー破壊の弱点を突く3より強い権限を手に入れる攻撃の流れ: 1. 悪意のあるアプリが機器で動く → 2. Foundation のメモリー破壊の弱点を突く → 3. より強い権限を手に入れる1悪意のあるアプリが機器で動く2Foundation のメモリー破壊の弱点を突く3より強い権限を手に入れる

誰が影響を受ける

iOS 12.1.4 より前の iOS を使っている iPhone 5s 以降、iPad Air 以降、iPod touch 第6世代の利用者と、macOS Mojave 10.14.3 で Supplemental Update を入れていない Mac の利用者が影響を受けます。Apple によると、tvOS 12.2 より前の Apple TV 4K と Apple TV HD、watchOS 5.2 より前の Apple Watch Series 1 以降も対象です。

何をすればいい

iPhone などは iOS 12.1.4 以降に、Mac は macOS Mojave 10.14.3 Supplemental Update を入れるか、より新しい macOS に更新してください。Apple TV は tvOS 12.2 以降に、Apple Watch は watchOS 5.2 以降に更新してください。現在はさらに新しい版が出ているので、入れられる最新版にするのが確実です。あわせて公式の案内（Apple のセキュリティ情報）を確認してください。

やることチェックリスト

用語メモ

Foundation
Apple の OS で、多くのアプリが使う基本的な機能をまとめた部品です。
権限昇格
攻撃者が、本来は持っていない強い権限を手に入れることです。
Supplemental Update
Apple が、通常の更新のあとに追加で出す、問題を直すための更新です。

元データ（英語・CISA KEV より）

Apple Multiple Products Memory Corruption Vulnerability

概要

Apple iOS, macOS, watchOS, and tvOS contain a memory corruption vulnerability that could allow for privilege escalation.

推奨対応

Apply updates per vendor instructions.

公式情報