最近の脆弱性 › CVE-2023-41991

Apple Multiple Products の脆弱性（CVE-2023-41991）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2023-41991
製品	Apple Multiple Products
深刻度（CVSS）	5.5 警告CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N`
KEVへの追加日	2023-09-25
米国政府機関の対応期限	2023-10-16
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-295

何が起きた

Apple の iOS、iPadOS、macOS、watchOS で、証明書の確認に誤りがある弱点が見つかりました。悪意のあるアプリが、アプリの署名の確認をすり抜けられる可能性があります。NVD の評価では、端末の上での攻撃で、利用者の操作が必要とされています。Apple は、iOS 16.7 より前の iOS に対して悪用された可能性があるという報告を把握しているとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

修正前の iPhone、iPad、Mac、Apple Watch を使っている人が対象です。Apple は iOS 16.7 と iPadOS 16.7、iOS 17.0.1 と iPadOS 17.0.1、macOS Ventura 13.6、watchOS 10.0.1、watchOS 9.6.3 でこの弱点を修正しています。

何をすればいい

iPhone や iPad は iOS 16.7 か iOS 17.0.1 以降、Mac は macOS Ventura 13.6 以降、Apple Watch は watchOS 10.0.1 か watchOS 9.6.3 以降に更新されているか確認してください。詳しくは Apple の公式の案内を確認してください。

やることチェックリスト

iPhone を iOS 16.7 か 17.0.1 以降に更新する
Mac を macOS Ventura 13.6 以降に更新する
Apple Watch を watchOS 10.0.1 以降に更新する

用語メモ

署名: アプリが正しい作り手のもので、途中で書き換えられていないことを確かめるための電子的なしるしです。
証明書: 署名が本物であることを裏付けるための電子的な身分証明書です。

元データ（英語・CISA KEV より）

Apple Multiple Products Improper Certificate Validation Vulnerability

概要

Apple iOS, iPadOS, macOS, and watchOS contain an improper certificate validation vulnerability that can allow a malicious app to bypass signature validation.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.