Apple Multiple Products の型の取り違えの脆弱性（CVE-2024-23222）

何が起きた

Apple の Safari や iOS などで使われるブラウザーの部品 WebKit に、データの種類を取り違えてしまう弱点（型の取り違え）が見つかりました。悪意のあるウェブのコンテンツを読み込むと、攻撃者が任意の（好きに選べる）コードを実行できるおそれがあります。この弱点は、実際に悪用されたことが確認されています。ネットワーク経由で、ログインの権限がない攻撃者でも悪用できますが、利用者がページを開くなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apple の iOS、iPadOS、macOS、tvOS、visionOS、Safari を使っている人が対象です。CISA によると、WebKit を使う Apple 以外の製品にも影響する可能性があります。修正版より前のバージョンが影響を受けます。

何をすればいい

Safari は 17.3 以降、iPhone と iPad は iOS 17.3 と iPadOS 17.3 以降（古い機種は iOS 16.7.5 と iPadOS 16.7.5、または iOS 15.8.7 と iPadOS 15.8.7 以降）に更新されているか確認します。Mac は macOS Sonoma 14.3、macOS Ventura 13.6.4、macOS Monterey 12.7.3 以降、Apple TV は tvOS 17.3 以降、Apple Vision Pro は visionOS 1.0.2 以降が修正版です。あわせて、Apple の公式の案内（セキュリティアップデートの情報）を確認します。

やることチェックリスト

• iPhone と iPad を iOS 17.3 以降に更新する
• Mac を macOS Sonoma 14.3 以降に更新する
• 古い iPhone は iOS 15.8.7 以降に更新する

用語メモ

WebKit

Safari などでウェブページを表示するための部品（エンジン）です。

型の取り違え

あるデータを、本来とは違う種類のデータとして扱ってしまう不具合です。メモリーの不正な読み書きにつながることがあります。

Safari

Apple が作っているブラウザーです。