Apple Multiple Products の範囲外読み取りの脆弱性（CVE-2023-28204）

何が起きた

Apple の製品が使う WebKit（Web ページを表示する部品）に、メモリの決められた範囲の外を読んでしまう弱点が見つかりました。細工された Web の内容を処理すると、大事な情報が漏れるおそれがあります。Apple は、この弱点が実際に悪用された可能性があるという報告を把握していると説明しており、CISA も悪用を確認しています。攻撃はネットワーク経由で、ログイン不要ですが、利用者が細工されたページを開くなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iPhone や iPad（iOS と iPadOS）、Mac（macOS Ventura）、Apple Watch（watchOS）、Apple TV（tvOS）、Safari を使っている人が対象です。修正版より前の watchOS 9.5、tvOS 16.5、macOS Ventura 13.4、iOS 15.7.6 と iPadOS 15.7.6、Safari 16.5、iOS 16.5 と iPadOS 16.5 が影響を受けます。KEV の説明では、WebKit を使ってページを表示する Apple 以外の製品にも影響する可能性があるとされています。

何をすればいい

お使いの機器を、iOS 16.5 と iPadOS 16.5（古い機種は iOS 15.7.6 と iPadOS 15.7.6）、macOS Ventura 13.4、watchOS 9.5、tvOS 16.5、Safari 16.5 以降に更新されているか確認してください。iOS 16.4.1 (a) と iPadOS 16.4.1 (a)、macOS 13.3.1 (a) の緊急セキュリティ対応（Rapid Security Response）でも先に修正されています。あわせて Apple の公式の案内を確認してください。知らない相手から送られたリンクは開かないようにしましょう。

やることチェックリスト

• iPhone と iPad を iOS 16.5 以降に更新する
• Mac を macOS Ventura 13.4 以降に更新する
• Safari を 16.5 以降に更新する

用語メモ

WebKit

Safari などが Web ページを表示するときに使う部品（エンジン）です。iPhone や iPad のアプリの多くも、ページ表示にこれを使います。

Rapid Security Response

Apple が大きな更新を待たずに、急ぎのセキュリティ修正だけを届ける仕組みです。