Apple の複数の製品の脆弱性（CVE-2021-30663）

何が起きた

Apple の iOS、iPadOS、macOS、tvOS、Safari で使われている WebKit（ウェブページを表示する仕組み）に、整数オーバーフローという計算のあふれの弱点が見つかりました。攻撃者が細工したウェブの内容を読み込むと、任意のコード（攻撃者が好きに選べるプログラム）を実行されるおそれがあります。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が悪用できますが、利用者がそのページを開くなどの操作が必要です。CISA によると、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apple の iPhone、iPad、Mac、Apple TV、Safari を使っている人が対象です。Apple のセキュリティ情報では、iOS 14.5.1 と iPadOS 14.5.1、iOS 12.5.3、macOS Big Sur 11.3.1、tvOS 14.6、Safari 14.1.1 でこの問題が修正されたとされています。CISA は、WebKit を使う Apple 以外の製品にも影響する可能性があるとしています。

何をすればいい

使っている端末の OS や Safari が、iOS 14.5.1 と iPadOS 14.5.1、iOS 12.5.3、macOS Big Sur 11.3.1、tvOS 14.6、Safari 14.1.1 以降に更新されているか確認してください。Apple の公式の案内を確認し、ソフトウェア・アップデートを適用してください。知らない相手から届いたリンクやページは開かないようにしてください。

やることチェックリスト

• iPhoneとiPadをiOS 14.5.1以降に更新する
• MacをmacOS Big Sur 11.3.1以降に更新する
• 古いMacのSafariを14.1.1以降に更新する

用語メモ

WebKit 用語集で見る

Apple の Safari などで使われる、ウェブページを読み込んで表示するための仕組みです。

整数オーバーフロー 用語集で見る

数を入れる場所の大きさを超える値になり、計算結果がおかしくなる不具合です。

任意のコード 用語集で見る

攻撃者が好きに選んで実行させられるプログラムのことです。