Apple Multiple Products のuse-after-freeの脆弱性（CVE-2023-32373）

何が起きた

Apple の iOS、iPadOS、macOS、tvOS、watchOS、Safari が使う WebKit に、使い終わって解放したメモリをもう一度使ってしまう弱点（解放後使用）が見つかりました。細工した Web の内容を処理すると、任意の（攻撃者が好きに選べる）コードを実行されるおそれがあります。Apple は、この弱点が実際に悪用された可能性があるという報告を把握しています。NVD の評価では、ログインなどの権限がない攻撃者が、ネットワーク経由で離れた場所から悪用でき、利用者がページを開くなどの操作が必要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

watchOS 9.5、tvOS 16.5、macOS Ventura 13.4、iOS 15.7.6 と iPadOS 15.7.6、Safari 16.5、iOS 16.5 と iPadOS 16.5 より前を使っている人が影響を受けます。CISA によると、WebKit を使う Apple 以外の製品にも影響する可能性があります。

何をすればいい

お使いの機器が watchOS 9.5、tvOS 16.5、macOS Ventura 13.4、iOS 16.5 と iPadOS 16.5（古い機種は iOS 15.7.6 と iPadOS 15.7.6）、Safari 16.5 以降に更新されているか確認してください。Apple によると、macOS では緊急セキュリティ対応 macOS 13.3.1 (a) で先に対処されていました。あわせて、Apple の公式の案内を確認してください。

やることチェックリスト

• iPhone や iPad を iOS 16.5 以降に更新する
• Mac を macOS Ventura 13.4 以降に更新する
• Safari を 16.5 以降に更新する

用語メモ

WebKit

Safari などで Web ページを表示するための部品です。iPhone や iPad のブラウザーはこれを使っています。

解放後使用

プログラムが使い終わって手放したメモリの場所を、まちがえてもう一度使ってしまう不具合です。攻撃者に悪用されると、好きな命令を実行されるおそれがあります。