CVE-2020-9819とは？Apple iOS, iPadOS, and watchOSの脆弱性をわかりやすく解説

ひとことでiPhone などのメールアプリで、細工したメールによりメモリーを壊される弱点
深刻度4.3 警告CVSS v3.1
まずやることiPhone と iPad を iOS 13.5 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2020-9819
製品	Apple iOS, iPadOS, and watchOS
深刻度（CVSS）	4.3 警告CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2022-05-03
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-787（範囲外への書き込み）

何が起きた

Apple の iOS、iPadOS、watchOS のメールアプリに、メモリーの扱いの誤りが見つかりました。Apple によると、細工したメールを処理すると、ヒープ（作業用のメモリー）が壊れるおそれがあります。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が悪用できますが、利用者の何らかの操作が必要です。CISA によると、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apple の iPhone、iPad、Apple Watch でメールアプリを使っている人が対象です。Apple によると、iOS 13.5 と iPadOS 13.5、iOS 12.4.7、watchOS 6.2.5、watchOS 5.3.7 で修正されました。

何をすればいい

使っている端末の OS が、上の修正版以降に更新されているか確認してください。Apple の公式の案内を確認し、ソフトウェア・アップデートを適用してください。知らない相手からのメールには注意してください。

やることチェックリスト

iPhone と iPad を iOS 13.5 以降に更新する
古い iPhone は iOS 12.4.7 以降に更新する
Apple Watch を watchOS 6.2.5 以降にする

用語メモ

ヒープ用語集で見る: プログラムが動いている間に、必要に応じて使う作業用のメモリーの場所です。
ソフトウェア・アップデート用語集で見る: OS やアプリを新しい版にして、問題を直す仕組みです。

次に読む

同じ製品・メーカーの脆弱性Apple iOS, iPadOS, and watchOS（CVE-2023-41061）7.8 重要CVSS v3.1Apple の iPhone や Apple Watch のウォレットで、細工した添付物からプログラムを動かされる弱点です。同じ製品・メーカーの脆弱性Apple iOS, iPadOS, and watchOS（CVE-2021-1879）6.1 警告CVSS v3.1Apple の iOS などの WebKit で、細工したページを見るとクロスサイトスクリプティングが起きる弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apple iOS, iPadOS, and watchOS Memory Corruption Vulnerability

概要

Apple iOS, iPadOS, and watchOS Mail contains a memory corruption vulnerability that may allow heap corruption when processing a maliciously crafted mail message.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Apple iOS, iPadOS, and watchOS の脆弱性（CVE-2020-9819）