• ひとことでApple の WebKit で、細工した Web ページを見るとコードを実行されるおそれがある弱点です。
  • 深刻度8.8 重要CVSS v3.1
  • まずやることiPhone や iPad を iOS 15.6.1 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2022-32893
製品Apple iOS and macOS
深刻度（CVSS）8.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2022-08-18
米国政府機関の対応期限2022-09-08
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-20（入力の確認の不備）
CWE-787（範囲外への書き込み）

何が起きた

Apple の iOS、iPadOS、macOS、Safari で使われている Web ページ表示の部品（WebKit）に、決められた範囲の外にデータを書き込んでしまう弱点が見つかりました。細工された Web コンテンツを処理すると、任意の（攻撃者が好きに選べる）コードを実行されるおそれがあります。NVD の評価では、離れた場所から、ログインは不要で、利用者の操作（ページを開くなど）が必要な形で悪用されるとされています。Apple は悪用された可能性があるという報告を把握していて、CISA の KEV にも載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した Web ページを用意する → 2. 利用者がそのページを開く → 3. WebKit が範囲外にデータを書き込む → 4. 攻撃者のコードが実行される1攻撃者が細工した Web ページを用意する2利用者がそのページを開く3WebKit が範囲外にデータを書き込む4攻撃者のコードが実行される攻撃の流れ: 1. 攻撃者が細工した Web ページを用意する → 2. 利用者がそのページを開く → 3. WebKit が範囲外にデータを書き込む → 4. 攻撃者のコードが実行される1攻撃者が細工した Web ページを用意する2利用者がそのページを開く3WebKit が範囲外にデータを書き込む4攻撃者のコードが実行される攻撃の流れ: 1. 攻撃者が細工した Web ページを用意する → 2. 利用者がそのページを開く → 3. WebKit が範囲外にデータを書き込む → 4. 攻撃者のコードが実行される1攻撃者が細工した Web ページを用意する2利用者がそのページを開く3WebKit が範囲外にデータを書き込む4攻撃者のコードが実行される

誰が影響を受ける

iPhone、iPad、Mac、Safari を使っている人や組織が対象です。iOS 15.6.1 と iPadOS 15.6.1、macOS Monterey 12.5.1、Safari 15.6.1 より前のものが影響を受けます。古い iPhone 向けには iOS 12.5.6 で修正されています。

何をすればいい

iPhone や iPad は iOS 15.6.1 と iPadOS 15.6.1 以降（古い機種は iOS 12.5.6 以降）、Mac は macOS Monterey 12.5.1 以降に更新されているか確認してください。macOS Big Sur や macOS Catalina の Mac では、Safari 15.6.1 以降に更新してください。更新するまでは、知らない相手から送られてきたリンクを開かないようにします。あわせて、Apple の公式の案内を確認してください。

やることチェックリスト

  • iPhone や iPad を iOS 15.6.1 以降に更新する
  • Mac を macOS Monterey 12.5.1 以降に更新する
  • Big Sur などは Safari 15.6.1 以降に更新する

用語メモ

WebKit 用語集で見る
Safari などで Web ページを表示するために使われている部品です。iPhone や iPad のほかのブラウザでも使われています。
任意の
攻撃者が好きに選べる、という意味です。任意のコードが実行されると、機器を思いどおりに操作されるおそれがあります。

次に読む

同じ製品・メーカーの脆弱性Apple iOS and macOS（CVE-2022-32894）7.8 重要CVSS v3.1Apple の iOS・macOS のカーネルで、アプリに最高権限で操作されるおそれがある弱点です。同じ製品・メーカーの脆弱性Apple iOS and macOS（CVE-2022-22587）9.8 緊急CVSS v3.1AppleのiPhoneやMacで、悪いアプリにカーネルの権限で動かれる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apple iOS and macOS Out-of-Bounds Write Vulnerability

概要

Apple iOS and macOS contain an out-of-bounds write vulnerability that could allow for remote code execution when processing malicious crafted web content.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る