Apple の複数の製品の型の取り違えの脆弱性（CVE-2021-1789）

何が起きた

Apple の複数の製品で使われている Web 表示の部品 WebKit に、型の取り違え（タイプコンフュージョン）の弱点が見つかりました。細工した Web コンテンツを処理すると、任意のコード（攻撃者が好きに選べるプログラム）を実行されるおそれがあります。この弱点は実際の攻撃で悪用されたことが確認されています。NVD の評価では、特別な権限がなくても、利用者に Web ページを見せるなどの操作をさせることで、離れた場所から悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iPhone、iPad、Mac、Apple TV、Apple Watch、Safari を使っている人が対象です。修正が入っていない macOS Big Sur 11.2 より前、iOS 14.4 と iPadOS 14.4 より前、tvOS 14.4 より前、watchOS 7.3 より前、Safari 14.0.3 より前、それに Security Update 2021-001 を適用していない Catalina と Mojave が影響を受けます。

何をすればいい

iOS 14.4 と iPadOS 14.4、macOS Big Sur 11.2、tvOS 14.4、watchOS 7.3、Safari 14.0.3 以降に更新されているか確認してください。macOS Catalina と Mojave では Security Update 2021-001 を適用してください。あわせて Apple の公式の案内を確認してください。

やることチェックリスト

• iOS と iPadOS を 14.4 以降に更新する
• macOS を Big Sur 11.2 以降に更新する
• Safari を 14.0.3 以降に更新する

用語メモ

WebKit 用語集で見る

Safari などで Web ページを表示するために使われている部品です。

タイプコンフュージョン 用語集で見る

データの種類を取り違えて扱ってしまう不具合で、メモリを不正に操作される原因になります。

任意のコード 用語集で見る

攻撃者が好きに選んで動かせるプログラムのことです。