最近の脆弱性 › CVE-2023-28206

Apple iOS, iPadOS, and macOS の範囲外書き込みの脆弱性（CVE-2023-28206）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2023-28206
製品	Apple iOS, iPadOS, and macOS
深刻度（CVSS）	8.6 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H`
KEVへの追加日	2023-04-10
米国政府機関の対応期限	2023-05-01
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-787

何が起きた

Apple の iOS、iPadOS、macOS の IOSurfaceAccelerator という部分に、決められた範囲の外にデータを書き込んでしまう弱点（範囲外書き込み）が見つかりました。悪用されると、アプリが OS の中心部分であるカーネルの権限で任意のコードを動かせるおそれがあります。NVD の評価では、端末上で、特別な権限なしに、利用者の操作を伴って悪用されるとされています。Apple は悪用された可能性がある報告を把握しており、実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

iOS と iPadOS、macOS Ventura、macOS Monterey、macOS Big Sur を使っている人が対象です。修正版より前のバージョンを使っている端末が影響を受けます。

何をすればいい

Apple はこの弱点を、iOS 16.4.1 と iPadOS 16.4.1、iOS 15.7.5 と iPadOS 15.7.5、macOS Ventura 13.3.1、macOS Monterey 12.6.5、macOS Big Sur 11.7.6 で直しています。お使いの端末がこれらのバージョン以降になっているか確認し、なっていなければ更新してください。Apple の公式の案内も確認してください。

やることチェックリスト

iPhone と iPad を 16.4.1 か 15.7.5 以降に更新する
Mac を Ventura 13.3.1 以降などに更新する
Monterey は 12.6.5、Big Sur は 11.7.6 にする

用語メモ

範囲外書き込み: プログラムが、データを書いてよい場所の外側に書き込んでしまう不具合です。悪用されると、不正なプログラムを動かされることがあります。
カーネル: OS の中心部分で、端末全体を管理するいちばん強い権限を持つ部分です。
任意のコード: 攻撃者が好きに選んだプログラムのことです。

元データ（英語・CISA KEV より）

Apple iOS, iPadOS, and macOS IOSurfaceAccelerator Out-of-Bounds Write Vulnerability

概要

Apple iOS, iPadOS, and macOS IOSurfaceAccelerator contain an out-of-bounds write vulnerability that allows an app to execute code with kernel privileges.

推奨対応

Apply updates per vendor instructions.