Apple iOS のuse-after-freeの脆弱性（CVE-2021-30762）

何が起きた

Apple の iOS が使う WebKit（Web ページを表示する部品）に、解放済みメモリの使用（use-after-free）という弱点が見つかりました。細工した Web コンテンツを処理すると、任意の（攻撃者が好きに選べる）コードが実行される可能性があります。Apple は悪用された可能性があるという報告を把握していると説明しており、CISA も実際の悪用を確認しています。NVD の評価では、攻撃はネットワーク経由で行え、攻撃者に権限は要りませんが、被害者の操作（ページを見るなど）が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iOS 12 を使う古い iPhone や iPad を使っている人が対象です。Apple によると、修正版の iOS 12.5.4 の対象は iPhone 5s、iPhone 6、iPhone 6 Plus、iPad Air、iPad mini 2、iPad mini 3、iPod touch（第6世代）です。CISA は、Safari や、WebKit を使う Apple 以外の製品にも影響する可能性があるとしています。

何をすればいい

対象の機種は iOS 12.5.4 以降に更新されているか確認してください。あわせて公式の案内を確認し、古いバージョンが使われていないか確認してください。

やることチェックリスト

• 古い iPhone や iPad を iOS 12.5.4 以降に更新する
• iPhone 5s や iPhone 6 の iOS の版を確認する
• ソフトウェア・アップデートで更新を適用する

用語メモ

WebKit

Safari などで使われる、Web ページを読み込んで表示するための部品です。

use-after-free

すでに使い終わって返したメモリを、プログラムが誤って使い続けてしまう不具合です。