CVE-2022-22587とは？Apple iOS and macOSの脆弱性をわかりやすく解説

ひとことでAppleのiPhoneやMacで、悪いアプリにカーネルの権限で動かれる弱点です。
深刻度9.8 緊急CVSS v3.1
まずやることiPhoneとiPadを15.3以降に更新する

基本情報（データから表示）

CVE番号	CVE-2022-22587
製品	Apple iOS and macOS
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-01-28
米国政府機関の対応期限	2022-02-11
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-20（入力の確認の不備） CWE-787（範囲外への書き込み）

何が起きた

Apple の iOS・iPadOS・macOS の IOMobileFrameBuffer という部分に、メモリが壊れる弱点が見つかり、実際に悪用が確認されています。悪意のあるアプリが、カーネル（OS の中心）の権限で任意のコードを実行できるおそれがあります。Apple も、この問題が悪用された可能性があるという報告を把握していると説明しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iOS 15.3 より前の iOS、iPadOS 15.3 より前の iPadOS、macOS Big Sur 11.6.3 より前、macOS Monterey 12.2 より前を使っている人が影響を受けます。iOS では iPhone 6s and later などが対象です。

何をすればいい

Apple は iOS 15.3 と iPadOS 15.3、macOS Big Sur 11.6.3、macOS Monterey 12.2 でこの問題を修正しています。お使いの機器がそれ以降に更新されているか確認してください。詳しくは Apple の公式の案内を確認してください。

やることチェックリスト

iPhoneとiPadを15.3以降に更新する
Big Surを11.6.3以降に更新する
Montereyを12.2以降に更新する

用語メモ

カーネル用語集で見る: OS のいちばん中心にあり、機器全体を管理する部分です。ここで動かれると、ほぼ何でもできてしまいます。
IOMobileFrameBuffer: 画面の表示を扱う、Apple の OS の中の部品です。

次に読む

同じ製品・メーカーの脆弱性Apple iOS and macOS（CVE-2022-32894）7.8 重要CVSS v3.1Apple の iOS・macOS のカーネルで、アプリに最高権限で操作されるおそれがある弱点です。同じ製品・メーカーの脆弱性Apple iOS and macOS（CVE-2022-32893）8.8 重要CVSS v3.1Apple の WebKit で、細工した Web ページを見るとコードを実行されるおそれがある弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apple Memory Corruption Vulnerability

概要

Apple IOMobileFrameBuffer contains a memory corruption vulnerability which can allow a malicious application to execute arbitrary code with kernel privileges.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Apple iOS and macOS の脆弱性（CVE-2022-22587）