Apple の複数の製品の型の取り違えの脆弱性（CVE-2019-8506）

何が起きた

Apple の複数の製品で使われている Web 表示の部品 WebKit に、型の取り違え（タイプコンフュージョン）の弱点が見つかりました。細工した Web コンテンツを処理すると、任意のコード（攻撃者が好きに選べるプログラム）を実行されるおそれがあります。この弱点は実際の攻撃で悪用されたことが確認されています。NVD の評価では、特別な権限がなくても、利用者に Web ページを見せるなどの操作をさせることで、離れた場所から悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iPhone、iPad、Apple TV、Apple Watch、Mac の Safari、Windows 版の iTunes と iCloud を使っている人が対象です。iOS 12.2、tvOS 12.2、watchOS 5.2、Safari 12.1、iTunes 12.9.4 for Windows、iCloud for Windows 7.11 より前の版が影響を受けます。

何をすればいい

iOS 12.2、tvOS 12.2、watchOS 5.2、Safari 12.1、iTunes 12.9.4 for Windows、iCloud for Windows 7.11 以降に更新されているか確認してください。あわせて Apple の公式の案内を確認してください。

やることチェックリスト

• iOS を 12.2 以降に更新する
• Safari を 12.1 以降に更新する
• Windows の iTunes と iCloud を更新する

用語メモ

WebKit 用語集で見る

Safari などで Web ページを表示するために使われている部品です。

タイプコンフュージョン 用語集で見る

データの種類を取り違えて扱ってしまう不具合で、メモリを不正に操作される原因になります。

任意のコード 用語集で見る

攻撃者が好きに選んで動かせるプログラムのことです。