最近の脆弱性 › CVE-2021-1789

Apple Multiple Products の型の取り違えの脆弱性（CVE-2021-1789）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2021-1789
製品	Apple Multiple Products
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-05-04
米国政府機関の対応期限	2022-05-25
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-843

何が起きた

Apple の複数の製品で使われている Web 表示の部品 WebKit に、型の取り違え（タイプコンフュージョン）の弱点が見つかりました。細工した Web コンテンツを処理すると、任意のコード（攻撃者が好きに選べるプログラム）を実行されるおそれがあります。この弱点は実際の攻撃で悪用されたことが確認されています。NVD の評価では、特別な権限がなくても、利用者に Web ページを見せるなどの操作をさせることで、離れた場所から悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iPhone、iPad、Mac、Apple TV、Apple Watch、Safari を使っている人が対象です。修正が入っていない macOS Big Sur 11.2 より前、iOS 14.4 と iPadOS 14.4 より前、tvOS 14.4 より前、watchOS 7.3 より前、Safari 14.0.3 より前、それに Security Update 2021-001 を適用していない Catalina と Mojave が影響を受けます。

何をすればいい

iOS 14.4 と iPadOS 14.4、macOS Big Sur 11.2、tvOS 14.4、watchOS 7.3、Safari 14.0.3 以降に更新されているか確認してください。macOS Catalina と Mojave では Security Update 2021-001 を適用してください。あわせて Apple の公式の案内を確認してください。

やることチェックリスト

iOS と iPadOS を 14.4 以降に更新する
macOS を Big Sur 11.2 以降に更新する
Safari を 14.0.3 以降に更新する

用語メモ

WebKit: Safari などで Web ページを表示するために使われている部品です。
タイプコンフュージョン: データの種類を取り違えて扱ってしまう不具合で、メモリを不正に操作される原因になります。
任意のコード: 攻撃者が好きに選んで動かせるプログラムのことです。

元データ（英語・CISA KEV より）

Apple Multiple Products Type Confusion Vulnerability

概要

A type confusion issue affecting multiple Apple products allows processing of maliciously crafted web content, leading to arbitrary code execution.

推奨対応

Apply updates per vendor instructions.