Apple iOS, iPadOS, and macOS のリモートコード実行の脆弱性（CVE-2021-1870）

何が起きた

Apple の iOS、iPadOS、macOS に含まれる WebKit（Web ページを表示する部品）に、処理の理屈の誤り（ロジックの問題）が見つかりました。悪用されると、離れた場所の攻撃者に任意のコード（攻撃者が好きに選べるプログラム）を実行されるおそれがあります。NVD の評価では、離れた場所から、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。Apple は、この弱点が実際に悪用された可能性があるという報告を把握しているとし、CISA も悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apple によると、iOS 14.4 と iPadOS 14.4 より前（iPhone 6s 以降など）と、macOS Big Sur 11.2 より前（macOS Big Sur 11.0.1）が対象です。CVE の記録と NVD の説明では、Security Update 2021-001 Catalina と Security Update 2021-001 Mojave でも直ったとされていますが、Apple のセキュリティ情報の文書では、この WebKit の項目の対象は macOS Big Sur 11.0.1 だけと書かれています。CISA は、WebKit を使って HTML を処理する Apple 以外の製品にも影響する可能性があるとしています。

何をすればいい

Apple は、iOS 14.4 と iPadOS 14.4、macOS Big Sur 11.2 でこの弱点を直しています。お使いの機器が、それぞれのバージョン以降に更新されているか確認してください。macOS Catalina や macOS Mojave を使っている場合は、Security Update 2021-001 が当たっているか確認してください。公式の案内を確認してください。

やることチェックリスト

• iPhone・iPad を 14.4 以降に更新する
• Mac を macOS Big Sur 11.2 以降に更新する
• Catalina・Mojave に 2021-001 を当てる

用語メモ

WebKit

Safari などで使われている、Web ページを表示するための部品です。

任意のコード

攻撃者が好きに選んだプログラムのことです。実行されると、機器を乗っ取られるおそれがあります。

HTML

Web ページの中身や見た目を書くための言葉です。