• ひとことでiPhone や Mac の画像処理のドライバーで、強い権限を奪われる弱点です。
  • 深刻度7.8 重要CVSS v3.1
  • まずやることiPhone と iPad を iOS 15.1 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2021-30900
製品Apple iOS, iPadOS, and macOS
深刻度（CVSS）7.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2023-03-30
米国政府機関の対応期限2023-04-20
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-20（入力の確認の不備）
CWE-787（範囲外への書き込み）

何が起きた

Apple の iOS、iPadOS、macOS に含まれる GPU（画像を処理する部品）のドライバーで、決められた範囲の外にデータを書き込んでしまう弱点が見つかりました。悪意のあるアプリが、カーネル（OS の中心部分）の権限で、攻撃者の好きなプログラムを動かせるおそれがあります。CISA の一覧に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 悪意のあるアプリが機器に入る → 2. GPU のドライバーの弱点を突く → 3. 範囲の外にデータを書き込む → 4. カーネルの権限でプログラムを動かす1悪意のあるアプリが機器に入る2GPU のドライバーの弱点を突く3範囲の外にデータを書き込む4カーネルの権限でプログラムを動かす攻撃の流れ: 1. 悪意のあるアプリが機器に入る → 2. GPU のドライバーの弱点を突く → 3. 範囲の外にデータを書き込む → 4. カーネルの権限でプログラムを動かす1悪意のあるアプリが機器に入る2GPU のドライバーの弱点を突く3範囲の外にデータを書き込む4カーネルの権限でプログラムを動かす攻撃の流れ: 1. 悪意のあるアプリが機器に入る → 2. GPU のドライバーの弱点を突く → 3. 範囲の外にデータを書き込む → 4. カーネルの権限でプログラムを動かす1悪意のあるアプリが機器に入る2GPU のドライバーの弱点を突く3範囲の外にデータを書き込む4カーネルの権限でプログラムを動かす

誰が影響を受ける

iPhone、iPad、Mac を使っている人が対象です。Apple の情報では、この弱点は iOS 15.1 と iPadOS 15.1、iOS 14.8.1 と iPadOS 14.8.1、macOS Big Sur 11.6.1 で修正されています。これより前のものが影響を受けます。

何をすればいい

iPhone や iPad は iOS 15.1 と iPadOS 15.1 以降（14 系を使う場合は iOS 14.8.1 と iPadOS 14.8.1 以降）に、Mac は macOS Big Sur 11.6.1 以降に更新されているか確認してください。詳しくは、Apple の公式の案内を確認してください。

やることチェックリスト

  • iPhone と iPad を iOS 15.1 以降に更新する
  • Mac を macOS Big Sur 11.6.1 以降に更新する
  • 知らない提供元のアプリを入れない

用語メモ

GPU 用語集で見る
画像や映像の処理を受け持つ部品です。
ドライバー 用語集で見る
OS が部品を動かすために使うプログラムです。
カーネル 用語集で見る
OS の中心部分で、機器全体を管理する最も強い権限で動きます。

次に読む

同じ製品・メーカーの脆弱性Apple iOS, iPadOS, and macOS（CVE-2025-43300）10.0 緊急CVSS v3.1iPhone や Mac で、細工した画像を処理するとメモリが壊れる弱点です同じ製品・メーカーの脆弱性Apple iOS, iPadOS, and macOS（CVE-2023-41064）7.8 重要CVSS v3.1Apple の iPhone や Mac で、細工した画像からプログラムを動かされる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apple iOS, iPadOS, and macOS Out-of-Bounds Write Vulnerability

概要

Apple GPU drivers, included in iOS, iPadOS, and macOS, contain an out-of-bounds write vulnerability that may allow a malicious application to execute code with kernel privileges.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る