最近の脆弱性 › CVE-2021-30665

Apple Multiple Products の範囲外書き込みの脆弱性（CVE-2021-30665）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2021-30665
製品	Apple Multiple Products
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2021-11-17
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-787

何が起きた

Apple の iOS、iPadOS、macOS、watchOS、tvOS が使う WebKit（Web ページを表示する部品）に、メモリ破損の弱点が見つかりました。細工した Web コンテンツを処理すると、任意の（攻撃者が好きに選べる）コードが実行される可能性があります。Apple は悪用された可能性があるという報告を把握していると説明しており、CISA も実際の悪用を確認しています。NVD の評価では、攻撃はネットワーク経由で行え、攻撃者に権限は要りませんが、被害者の操作（ページを見るなど）が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iPhone、iPad、Mac、Apple Watch、Apple TV を使っている人が対象です。NVD の説明では、watchOS 7.4.1、iOS 14.5.1 と iPadOS 14.5.1、tvOS 14.6、iOS 12.5.3、macOS Big Sur 11.3.1 で修正されています。CISA は、Safari や、WebKit を使う Apple 以外の製品にも影響する可能性があるとしています。

何をすればいい

iPhone と iPad は iOS 14.5.1 と iPadOS 14.5.1 以降（古い機種は iOS 12.5.3 以降）に、Mac は macOS Big Sur 11.3.1 以降に、Apple Watch は watchOS 7.4.1 以降に、Apple TV は tvOS 14.6 以降に更新されているか確認してください。あわせて公式の案内を確認し、古いバージョンが使われていないか確認してください。

やることチェックリスト

iPhone と iPad を iOS 14.5.1 以降に更新する
Mac を macOS Big Sur 11.3.1 以降に更新する
Apple Watch を watchOS 7.4.1 以降に更新する

用語メモ

WebKit: Safari などで使われる、Web ページを読み込んで表示するための部品です。
メモリ破損: プログラムがメモリの内容を誤って書き換えてしまう不具合です。攻撃に使われると、攻撃者のコードが動くことがあります。

元データ（英語・CISA KEV より）

Apple Multiple Products WebKit Memory Corruption Vulnerability

概要

Apple iOS, iPadOS, macOS, watchOS, and tvOS WebKit contain a memory corruption vulnerability that leads to code execution when processing maliciously crafted web content. This vulnerability could impact HTML parsers that use WebKit, including but not limited to Apple Safari and non-Apple products which rely on WebKit for HTML processing.

推奨対応

Apply updates per vendor instructions.