Apple Multiple Products のクロスサイトスクリプティングの脆弱性（CVE-2024-44309）

何が起きた

Apple の製品で Web ページを表示する部品 WebKit に、Cookie の管理に関する問題が見つかりました。悪意をもって作られた Web の内容を処理すると、クロスサイトスクリプティング（XSS）という攻撃につながるおそれがあります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用できますが、利用者がページを開くなどの操作が必要です。Apple は、Intel のチップを使った Mac で実際に悪用された可能性があるという報告を把握しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Safari、iPhone や iPad（iOS と iPadOS）、Mac（macOS Sequoia）、Apple Vision Pro（visionOS）を使っている人が対象です。修正が入る前の版、つまり Safari 18.1.1、iOS 17.7.2 と iPadOS 17.7.2、iOS 18.1.1 と iPadOS 18.1.1、macOS Sequoia 15.1.1、visionOS 2.1.1 より前の版が影響を受けます。

何をすればいい

Apple の公式の案内を確認してください。Safari 18.1.1、iOS 17.7.2 と iPadOS 17.7.2、iOS 18.1.1 と iPadOS 18.1.1、macOS Sequoia 15.1.1、visionOS 2.1.1 以降に更新されているか確認してください。知らない相手から届いたリンクのページは開かないようにしてください。

やることチェックリスト

• iPhone・iPad を iOS 18.1.1 か 17.7.2 以降にする
• Mac は macOS Sequoia 15.1.1 以降にする
• 知らない相手からのリンクは開かないようにする

用語メモ

WebKit

Safari などで Web ページを表示するために使われている、Apple の部品です。

Cookie

Web サイトが、ログイン状態などを覚えておくためにブラウザーに保存する小さなデータです。

クロスサイトスクリプティング

Web ページに不正なプログラムを紛れ込ませ、見た人のブラウザーで動かす攻撃です。