定番の脆弱性 › CVE-2017-14315
BlueBorne（CVE-2017-14315）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
過去の事例 この記事は過去に話題になった脆弱性の解説です。現在の状況は公式情報でご確認ください。
基本情報（データから表示）
| 通称 | BlueBorne |
|---|---|
| CVE番号 | CVE-2017-14315 |
| いつ起きたか | NVD に登録された日: 2017-09-12 KEV に追加された日: KEV に未掲載 |
| 製品 | 不明（KEV に未掲載のため） |
| 深刻度（CVSS） | 7.5 重要CVSS v3.0 NVD による評価 詳細（ベクター）CVSS:3.0/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 弱点の種類（CWE） | CWE-119 |
何が起きた
Apple iOS 7から9には、Bluetoothの機能の処理に弱点が見つかりました。同じネットワーク内から、特別な権限や利用者の操作なしで、攻撃者がメモリ管理に問題を起こすことができます。これにより、攻撃者が端末を完全に制御できてしまう可能性があります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Apple iOSのバージョン7から9を使っている人が影響を受けます。影響を受けるバージョンは、このデータからは不明な部分もありますが、iOS 7から9が含まれます。
何をすればいい
古いバージョンが使われていないか確認し、公式の案内をよく確認してください。メーカーの案内に従って更新や対策をする必要があります。この攻撃は設定でBluetoothがオンになっていることが条件なので、使わないときはオフにしておくと安心です。
やることチェックリスト
- iOSのバージョンが7から9でないか確かめる
- メーカーの案内に従ってiOSを更新する
- 使わないときはBluetoothをオフにする
用語メモ
- Bluetooth
- 近くにある機器同士を無線でつないでデータをやり取りする技術です。
- iOS
- アップル社のスマートフォンやタブレットで使われている基本ソフトです。
元データ（英語）
説明（NVD）
In Apple iOS 7 through 9, due to a BlueBorne flaw in the implementation of LEAP (Low Energy Audio Protocol), a large audio command can be sent to a targeted device and lead to a heap overflow with attacker-controlled data. Since the audio commands sent via LEAP are not properly validated, an attacker can use this overflow to gain full control of the device through the relatively high privileges of the Bluetooth stack in iOS. The attack bypasses Bluetooth access control; however, the default "Bluetooth On" value must be present in Settings.
この脆弱性は、CISA KEV（悪用が確認された脆弱性の一覧）には載っていません。