Apple Multiple Products の脆弱性（CVE-2024-44308）

何が起きた

Apple の製品で JavaScript を動かす部品 JavaScriptCore に、チェックが足りない問題が見つかりました。悪意をもって作られた Web の内容を処理すると、攻撃者が選んだ任意のプログラムを動かされる（任意のコード実行）おそれがあります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用できますが、利用者がページを開くなどの操作が必要です。Apple は、Intel のチップを使った Mac で実際に悪用された可能性があるという報告を把握しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Safari、iPhone や iPad（iOS と iPadOS）、Mac（macOS Sequoia）、Apple Vision Pro（visionOS）を使っている人が対象です。Safari 18.1.1、iOS 17.7.2 と iPadOS 17.7.2、iOS 18.1.1 と iPadOS 18.1.1、macOS Sequoia 15.1.1、visionOS 2.1.1 より前の版が影響を受けます。

何をすればいい

Apple の公式の案内を確認してください。Safari 18.1.1、iOS 17.7.2 と iPadOS 17.7.2、iOS 18.1.1 と iPadOS 18.1.1、macOS Sequoia 15.1.1、visionOS 2.1.1 以降に更新されているか確認してください。知らない相手から届いたリンクのページは開かないようにしてください。

やることチェックリスト

• iPhone・iPad を iOS 18.1.1 か 17.7.2 以降にする
• Mac は macOS Sequoia 15.1.1 以降にする
• 知らない相手からのリンクは開かないようにする

用語メモ

JavaScriptCore

Safari などで、Web ページの中の JavaScript というプログラムを動かす Apple の部品です。

任意のコード実行

攻撃者が好きに選んだプログラムを、相手の機器で動かせてしまうことです。

Safari

Apple が作っている Web ブラウザーです。