- ひとことで古い iPhone の WebKit に、細工したページでコードを動かされる弱点です。
- 深刻度8.8 重要CVSS v3.1
- まずやること古い iPhone や iPad を iOS 12.5.4 以降に更新する
基本情報（データから表示）
| CVE番号 | CVE-2021-30761 |
|---|---|
| 製品 | Apple iOS |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2021-11-03 |
| 米国政府機関の対応期限 | 2021-11-17 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-787（範囲外への書き込み） |
何が起きた
Apple の iOS が使う WebKit（Web ページを表示する部品）に、メモリ破損の弱点が見つかりました。細工した Web コンテンツを処理すると、任意の（攻撃者が好きに選べる）コードが実行される可能性があります。Apple は悪用された可能性があるという報告を把握していると説明しており、CISA も実際の悪用を確認しています。NVD の評価では、攻撃はネットワーク経由で行え、攻撃者に権限は要りませんが、被害者の操作（ページを見るなど）が必要です。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
iOS 12 を使う古い iPhone や iPad を使っている人が対象です。Apple によると、修正版の iOS 12.5.4 の対象は iPhone 5s、iPhone 6、iPhone 6 Plus、iPad Air、iPad mini 2、iPad mini 3、iPod touch（第6世代）です。CISA は、Safari や、WebKit を使う Apple 以外の製品にも影響する可能性があるとしています。
何をすればいい
対象の機種は iOS 12.5.4 以降に更新されているか確認してください。あわせて公式の案内を確認し、古いバージョンが使われていないか確認してください。
やることチェックリスト
- 古い iPhone や iPad を iOS 12.5.4 以降に更新する
- iPhone 5s や iPhone 6 の iOS の版を確認する
- ソフトウェア・アップデートで更新を適用する
用語メモ
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Apple iOS WebKit Memory Corruption Vulnerability
概要
Apple iOS WebKit contains a memory corruption vulnerability that leads to code execution when processing maliciously crafted web content. This vulnerability could impact HTML parsers that use WebKit, including but not limited to Apple Safari and non-Apple products which rely on WebKit for HTML processing.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る