• ひとことでApple の WebKit で、細工した Web ページからクロスサイトスクリプティングを受ける弱点です。
  • 深刻度6.3 警告CVSS v3.1
  • まずやることiPhone・iPad を iOS 18.1.1 か 17.7.2 以降にする

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2024-44309
製品Apple Multiple Products
深刻度（CVSS）6.3 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L
KEVへの追加日2024-11-21
米国政府機関の対応期限2024-12-12
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-79（クロスサイトスクリプティング）

何が起きた

Apple の製品で Web ページを表示する部品 WebKit に、Cookie の管理に関する問題が見つかりました。悪意をもって作られた Web の内容を処理すると、クロスサイトスクリプティング（XSS）という攻撃につながるおそれがあります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が悪用できますが、利用者がページを開くなどの操作が必要です。Apple は、Intel のチップを使った Mac で実際に悪用された可能性があるという報告を把握しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した Web ページを用意する → 2. 利用者がそのページを開く → 3. WebKit の Cookie 管理の問題が突かれる → 4. クロスサイトスクリプティングが起きる1攻撃者が細工した Web ページを用意する2利用者がそのページを開く3WebKit の Cookie 管理の問題が突かれる4クロスサイトスクリプティングが起きる攻撃の流れ: 1. 攻撃者が細工した Web ページを用意する → 2. 利用者がそのページを開く → 3. WebKit の Cookie 管理の問題が突かれる → 4. クロスサイトスクリプティングが起きる1攻撃者が細工した Web ページを用意する2利用者がそのページを開く3WebKit の Cookie 管理の問題が突かれる4クロスサイトスクリプティングが起きる攻撃の流れ: 1. 攻撃者が細工した Web ページを用意する → 2. 利用者がそのページを開く → 3. WebKit の Cookie 管理の問題が突かれる → 4. クロスサイトスクリプティングが起きる1攻撃者が細工した Web ページを用意する2利用者がそのページを開く3WebKit の Cookie 管理の問題が突かれる4クロスサイトスクリプティングが起きる

誰が影響を受ける

Safari、iPhone や iPad（iOS と iPadOS）、Mac（macOS Sequoia）、Apple Vision Pro（visionOS）を使っている人が対象です。修正が入る前の版、つまり Safari 18.1.1、iOS 17.7.2 と iPadOS 17.7.2、iOS 18.1.1 と iPadOS 18.1.1、macOS Sequoia 15.1.1、visionOS 2.1.1 より前の版が影響を受けます。

何をすればいい

Apple の公式の案内を確認してください。Safari 18.1.1、iOS 17.7.2 と iPadOS 17.7.2、iOS 18.1.1 と iPadOS 18.1.1、macOS Sequoia 15.1.1、visionOS 2.1.1 以降に更新されているか確認してください。知らない相手から届いたリンクのページは開かないようにしてください。

やることチェックリスト

  • iPhone・iPad を iOS 18.1.1 か 17.7.2 以降にする
  • Mac は macOS Sequoia 15.1.1 以降にする
  • 知らない相手からのリンクは開かないようにする

用語メモ

WebKit 用語集で見る
Safari などで Web ページを表示するために使われている、Apple の部品です。
Cookie 用語集で見る
Web サイトが、ログイン状態などを覚えておくためにブラウザーに保存する小さなデータです。
クロスサイトスクリプティング 用語集で見る
Web ページに不正なプログラムを紛れ込ませ、見た人のブラウザーで動かす攻撃です。

次に読む

同じ製品・メーカーの脆弱性Apple の複数の製品（CVE-2026-86950）8.8 重要CVSS v3.1iPhoneやMacの画像などを描く仕組みで、細工したファイルから任意のコードを実行される弱点です。同じ製品・メーカーの脆弱性Apple の複数の製品（CVE-2025-43520）5.5 警告CVSS v3.1Apple の各 OS で、悪意あるアプリにカーネルのメモリを書き換えられうる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apple Multiple Products Cross-Site Scripting (XSS) Vulnerability

概要

Apple iOS, macOS, and other Apple products contain an unspecified vulnerability when processing maliciously crafted web content that may lead to a cross-site scripting (XSS) attack.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る