最近の脆弱性 › CVE-2019-8506

Apple Multiple Products の型の取り違えの脆弱性（CVE-2019-8506）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2019-8506
製品	Apple Multiple Products
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-05-04
米国政府機関の対応期限	2022-05-25
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-843

何が起きた

Apple の複数の製品で使われている Web 表示の部品 WebKit に、型の取り違え（タイプコンフュージョン）の弱点が見つかりました。細工した Web コンテンツを処理すると、任意のコード（攻撃者が好きに選べるプログラム）を実行されるおそれがあります。この弱点は実際の攻撃で悪用されたことが確認されています。NVD の評価では、特別な権限がなくても、利用者に Web ページを見せるなどの操作をさせることで、離れた場所から悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iPhone、iPad、Apple TV、Apple Watch、Mac の Safari、Windows 版の iTunes と iCloud を使っている人が対象です。iOS 12.2、tvOS 12.2、watchOS 5.2、Safari 12.1、iTunes 12.9.4 for Windows、iCloud for Windows 7.11 より前の版が影響を受けます。

何をすればいい

iOS 12.2、tvOS 12.2、watchOS 5.2、Safari 12.1、iTunes 12.9.4 for Windows、iCloud for Windows 7.11 以降に更新されているか確認してください。あわせて Apple の公式の案内を確認してください。

やることチェックリスト

iOS を 12.2 以降に更新する
Safari を 12.1 以降に更新する
Windows の iTunes と iCloud を更新する

用語メモ

WebKit: Safari などで Web ページを表示するために使われている部品です。
タイプコンフュージョン: データの種類を取り違えて扱ってしまう不具合で、メモリを不正に操作される原因になります。
任意のコード: 攻撃者が好きに選んで動かせるプログラムのことです。

元データ（英語・CISA KEV より）

Apple Multiple Products Type Confusion Vulnerability

概要

A type confusion issue affecting multiple Apple products allows processing of maliciously crafted web content, leading to arbitrary code execution.

推奨対応

Apply updates per vendor instructions.