最近の脆弱性 › CVE-2021-31010

Apple iOS, macOS, watchOS の安全でないデシリアライズの脆弱性（CVE-2021-31010）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2021-31010
製品	Apple iOS, macOS, watchOS
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N`
KEVへの追加日	2022-08-25
米国政府機関の対応期限	2022-09-15
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-20, CWE-502

何が起きた

Apple の iOS、macOS、watchOS の Core Telephony という部分に、受け取ったデータを元の形に戻す処理（デシリアライズ）の確認が不十分な弱点が見つかりました。これを悪用されると、サンドボックスの中で動いているプログラムが、その制限を回避できるおそれがあります。NVD の評価では、離れた場所から、ログインや利用者の操作なしに悪用できるとされています。Apple は修正の公開時点で悪用された可能性があるという報告を把握しており、CISA の KEV にも悪用が確認された脆弱性として載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iPhone や iPad、Mac、Apple Watch を使っている人や組織が対象です。iOS 12.5.5、iOS 14.8 と iPadOS 14.8、macOS Big Sur 11.6、Security Update 2021-005 Catalina、watchOS 7.6.2 より前のものが影響を受けます。

何をすればいい

使っている機器が、iOS 14.8 と iPadOS 14.8（古い機種は iOS 12.5.5）、macOS Big Sur 11.6（Catalina は Security Update 2021-005 Catalina）、watchOS 7.6.2 以降に更新されているか確認してください。修正はそれぞれのソフトウェア・アップデートに含まれています。あわせて、Apple の公式の案内を確認してください。

やることチェックリスト

iPhone や iPad を iOS 14.8 以降に更新する
Mac を macOS Big Sur 11.6 以降に更新する
Apple Watch を watchOS 7.6.2 以降に更新する

用語メモ

サンドボックス: プログラムを決められた範囲の中だけで動かし、ほかの部分に手を出せないようにする仕組みです。
デシリアライズ: 保存や送信のために変換されたデータを、元のデータの形に戻す処理です。
KEV: 米国の CISA が公開している、実際に悪用が確認された脆弱性の一覧です。

元データ（英語・CISA KEV より）

Apple iOS, macOS, watchOS Sandbox Bypass Vulnerability

概要

In affected versions of Apple iOS, macOS, and watchOS, a sandboxed process may be able to circumvent sandbox restrictions.

推奨対応

Apply updates per vendor instructions.