最近の脆弱性 › CVE-2022-48618

Apple Multiple Products の脆弱性（CVE-2022-48618）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2022-48618
製品	Apple Multiple Products
深刻度（CVSS）	7.0 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-01-31
米国政府機関の対応期限	2024-02-21
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-367

何が起きた

Apple の iOS、iPadOS、macOS、tvOS、watchOS に、確認した時点と使う時点のずれ（TOCTOU）によってメモリーが壊れる弱点が見つかりました。すでにメモリーを好きに読み書きできる攻撃者が、ポインター認証という保護のしくみをすり抜けられるおそれがあります。Apple は、iOS 15.7.1 より前に出た iOS で悪用された可能性があるという報告を把握しています。この弱点の悪用には、対象の機器上で一般利用者程度の権限が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

macOS Ventura 13.1、watchOS 9.2、iOS 16.2 と iPadOS 16.2、tvOS 16.2 より前のバージョンを使っている人が対象です。

何をすればいい

iPhone や iPad は iOS 16.2 と iPadOS 16.2 以降、Mac は macOS Ventura 13.1 以降、Apple Watch は watchOS 9.2 以降、Apple TV は tvOS 16.2 以降に更新されているか確認します。あわせて、Apple の公式の案内（セキュリティアップデートの情報）を確認します。

やることチェックリスト

iPhone と iPad を iOS 16.2 以降に更新する
Mac を macOS Ventura 13.1 以降に更新する
Apple Watch と Apple TV も最新に更新する

用語メモ

ポインター認証: メモリーの場所を指す情報（ポインター）に署名を付け、書き換えを見つけて防ぐ保護のしくみです。
TOCTOU: 確認した時点と実際に使う時点の間に状態が変わってしまうことで起きる不具合です。
iOS: iPhone で動く Apple の基本ソフトです。

元データ（英語・CISA KEV より）

Apple Multiple Products Memory Corruption Vulnerability

概要

Apple iOS, iPadOS, macOS, tvOS, and watchOS contain a time-of-check/time-of-use (TOCTOU) memory corruption vulnerability that allows an attacker with read and write capabilities to bypass Pointer Authentication.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.