Apple iOS, iPadOS, and watchOS のクロスサイトスクリプティングの脆弱性（CVE-2021-1879）

何が起きた

Apple の iOS、iPadOS、watchOS に含まれる WebKit（Web ページを表示する部品）に弱点が見つかりました。攻撃者が細工した Web の内容を処理すると、ユニバーサルクロスサイトスクリプティング（別のサイトの中で攻撃者のスクリプトを動かせてしまう攻撃）につながるおそれがあります。NVD の評価では、離れた場所から、ログインしていない攻撃者が悪用できますが、利用者がページを開くなどの操作が必要です。Apple は、この弱点が実際に悪用された可能性があるという報告を把握しているとし、CISA も悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apple によると、iOS 14.4.2 と iPadOS 14.4.2 より前（iPhone 6s 以降など）、iOS 12.5.2 より前（iPhone 5s、iPhone 6、iPhone 6 Plus、iPad Air など）、watchOS 7.3.3 より前（Apple Watch Series 3 以降）が対象です。CISA は、WebKit を使って HTML を処理する Apple 以外の製品にも影響する可能性があるとしています。

何をすればいい

Apple は、iOS 14.4.2 と iPadOS 14.4.2、iOS 12.5.2、watchOS 7.3.3 でこの弱点を直しています。お使いの機器が、それぞれのバージョン以降に更新されているか確認してください。公式の案内を確認し、知らない相手から送られてきたリンクのページを開かないようにしてください。

やることチェックリスト

• iOS・iPadOS を 14.4.2 以降に更新する
• 古い iPhone は iOS 12.5.2 以降に更新する
• Apple Watch を watchOS 7.3.3 以降に更新する

用語メモ

WebKit

Safari などで使われている、Web ページを表示するための部品です。

ユニバーサルクロスサイトスクリプティング

ブラウザ側の弱点を使って、どのサイトの中でも攻撃者のスクリプトを動かせてしまう攻撃です。ログイン情報などを盗まれるおそれがあります。

HTML

Web ページの中身や見た目を書くための言葉です。