Apple Multiple Products のuse-after-freeの脆弱性（CVE-2023-43000）

何が起きた

Apple の macOS、iOS、iPadOS、Safari で Web ページを表示する部品 WebKit に、使い終わったメモリを再び使ってしまう弱点（解放後使用）が見つかり、実際に悪用が確認されています。悪意を持って細工された Web の内容を処理すると、メモリが壊れるおそれがあります。ネットワーク経由で、ログインしていない攻撃者が悪用できますが、利用者がページを開くなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

修正が入る前の macOS Ventura、iOS、iPadOS、Safari を使っている人が影響を受けます。修正は macOS Ventura 13.5、iOS 16.6 と iPadOS 16.6、Safari 16.6、iOS 15.8.7 と iPadOS 15.8.7 で入りました。iOS 15.8.7 と iPadOS 15.8.7 は、iPhone 6s や iPhone 7 など、新しい iOS に更新できない古い機種向けの更新です。

何をすればいい

Apple の公式の案内を確認し、使っている機器を最新のソフトウェアに更新してください。少なくとも macOS Ventura 13.5、iOS 16.6、iPadOS 16.6、Safari 16.6 以降か、古い機種では iOS 15.8.7 または iPadOS 15.8.7 以降になっているか確かめましょう。設定の自動アップデートを有効にしておくと、更新し忘れを防げます。

やることチェックリスト

• iPhoneやMacのソフトを最新にする
• 古いiPhoneはiOS 15.8.7以降にする
• 自動アップデートを有効にする

用語メモ

WebKit

Safari などで Web ページを読み込んで表示するための部品です。

解放後使用

使い終わって手放したメモリを、プログラムが誤ってもう一度使ってしまう弱点です。攻撃者に悪用されると、メモリが壊れたり命令を実行されたりします。