最近の脆弱性 › CVE-2021-30860

Apple Multiple Products の脆弱性（CVE-2021-30860）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2021-30860
製品	Apple Multiple Products
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2021-11-17
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-20, CWE-190

何が起きた

Apple の iOS、iPadOS、macOS、watchOS の CoreGraphics という部品に、整数オーバーフローという弱点が見つかりました。細工した PDF を処理すると、任意の（攻撃者が好きに選べる）コードが実行される可能性があります。この弱点は FORCEDENTRY という呼び名でも知られており、Apple は悪用された可能性があるという報告を把握していると説明しています。NVD の評価では、攻撃は対象の機器上で行われ、攻撃者に権限は要りませんが、被害者の操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iPhone、iPad、Mac、Apple Watch を使っている人が対象です。NVD の説明では、iOS 14.8 と iPadOS 14.8、macOS Big Sur 11.6、Security Update 2021-005 Catalina、watchOS 7.6.2 で修正されています。Apple によると、iPhone 5s、iPhone 6 などの古い機種は iOS 12.5.5 で修正されています。

何をすればいい

iPhone と iPad は iOS 14.8 と iPadOS 14.8 以降（古い機種は iOS 12.5.5 以降）に、Mac は macOS Big Sur 11.6 以降または Security Update 2021-005 Catalina に、Apple Watch は watchOS 7.6.2 以降に更新されているか確認してください。あわせて公式の案内を確認し、古いバージョンが使われていないか確認してください。

やることチェックリスト

iPhone と iPad を iOS 14.8 以降に更新する
Mac は Big Sur 11.6 以降か 2021-005 を適用する
Apple Watch を watchOS 7.6.2 以降に更新する

用語メモ

整数オーバーフロー: 数を入れる入れ物の大きさを超える計算をして、値がおかしくなる不具合です。メモリの扱いが狂う原因になります。
CoreGraphics: Apple の OS で、画像や PDF の描画を受け持つ部品です。
PDF: 文書をどの機器でも同じ見た目で表示するためのファイル形式です。

元データ（英語・CISA KEV より）

Apple Multiple Products Integer Overflow Vulnerability

概要

Apple iOS, iPadOS, macOS, and watchOS CoreGraphics contain an integer overflow vulnerability which may allow code execution when processing a maliciously crafted PDF. The vulnerability is also known under the moniker of FORCEDENTRY.

推奨対応

Apply updates per vendor instructions.