Apple iOS, iPadOS, and macOS のuse-after-freeの脆弱性（CVE-2022-22620）

何が起きた

Apple の製品でウェブページを表示する仕組み（WebKit）に、使い終わったメモリを再び使ってしまう弱点（解放後使用）が見つかりました。細工したウェブの内容を処理すると、攻撃者が任意のプログラムを動かせるおそれがあります。Apple は悪用された可能性があるという報告を把握しており、CISA も悪用が確認された脆弱性の一覧に載せています。NVD の評価では、離れた場所から特別な権限なしで攻撃できますが、利用者が細工したページを開くなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iOS と iPadOS の 15.3.1 より前、macOS Monterey の 12.2.1 より前、macOS Big Sur と macOS Catalina で使う Safari の修正前の版が対象です。Safari は 15.3 で修正され、更新後のビルド番号は Big Sur で 16612.4.9.1.8、Catalina で 15612.4.9.1.8 です。CISA によると、Safari 以外でも WebKit を使って HTML を処理する製品に影響する可能性があります。

何をすればいい

iPhone や iPad は iOS 15.3.1、iPadOS 15.3.1 以降に、Mac は macOS Monterey 12.2.1 以降に更新されているか確認してください。macOS Big Sur や macOS Catalina では Safari 15.3 以降に更新してください。あわせて Apple の公式の案内を確認してください。

やることチェックリスト

• iPhone と iPad を 15.3.1 以降に更新する
• Mac を macOS Monterey 12.2.1 以降に更新する
• Big Sur と Catalina では Safari 15.3 以降にする

用語メモ

WebKit

Safari などでウェブページを表示するための仕組みです。iPhone や iPad のブラウザーの多くが使っています。

解放後使用

使い終わって手放したメモリを、プログラムが誤ってまた使ってしまう不具合です。攻撃に使われることがあります。

Safari

Apple のウェブブラウザーです。