「iOS」を勝手に操作できる複数の脆弱性をGoogleのセキュリティチームが発見

Googleのセキュリティチーム「Project Zero」が、「iOS」の6つの脆弱性に関する情報を公開した。その中には、ユーザーの操作なしで攻撃が実行される脆弱性のPoCコードが含まれる。

公開 2019年09月16日 05時00分

更新 2019年09月16日 05時57分

著者

Michael Heller

[TechTarget]

印刷する

　2019年8月、Googleのセキュリティ分析チーム「Project Zero」の研究者が、「iOS」およびスマートウォッチ向けOS「watchOS」の6つの脆弱（ぜいじゃく）性に関する情報を公開した。いずれも攻撃者による遠隔操作に悪用される可能性がある。

　Project Zeroのセキュリティ研究者を務めるナタリー・シルバノビッチ氏とサミュエル・グロース氏は、以下の4つの脆弱性を発見した。これらは、勝手にプログラムを実行する「遠隔コード実行」（RCE：Remote Code Execution）による攻撃を引き起こす恐れがある。

CVE-2019-8641
CVE-2019-8647
CVE-2019-8660
CVE-2019-8662

　他方で、以下の2つの脆弱性は、攻撃者が遠隔操作して端末のデータを漏えいさせたり、ファイルを読み取ったりできるようにする恐れがある。

CVE-2019-8624
CVE-2019-8646

併せて読みたいお薦め記事

Apple製品のセキュリティ対策

モバイル端末のセキュリティ対策

　シルバノビッチ氏は、2019年8月上旬にラスベガスで開催されたセキュリティカンファレンス「Black Hat USA 2019」で、遠隔操作によるiOSへの攻撃に関する自身の発見について紹介した。この6つの脆弱性に関してAppleは、2019年7月公開の「iOS 12.4」と「watchOS 5.3」で修正パッチを提供した。

何に悪用されるのか

　これらの脆弱性に関してシルバノビッチ氏とグロース氏が公開した情報によれば、これらの脆弱性には概念実証（PoC）コードが存在するという。それらのPoCコードを使えば、エクスプロイト（脆弱性攻撃コード）を作成できる。それにより、攻撃者はiOSの標準メッセージアプリケーション「iMessage」でエクスプロイトを標的に送信し、攻撃を仕掛けることが可能になる。

　RCEに関するiOSの脆弱性は、発見する価値が最も高い部類の脆弱性だ。ゼロデイ脆弱性（パッチ公開前の脆弱性）の情報を買い取るブローカーであるZERODIUMは、iOSの特定の脆弱性を高額で買い取っている。iMessageを使った悪用が可能なRCE脆弱性については、2019年9月現在で最大150万ドルの買い取り額を提示している。

最善の対策「最新版iOSへの更新」にも落とし穴が

　多要素認証製品ベンダーOneSpanでシニア製品マーケティングマネジャーを務めるサム・バッケン氏は、「これらの脆弱性を突いた攻撃に対するリスク軽減策は『最新版のiOSにアップデートすること』に尽きる」と述べる。「ユーザーは自動アップデート機能を有効にすべきだ」と同氏は助言。同時に「最新版のiOSが公開された後直ちにではなく、7日以内のいずれかの時点でアップデートが適用されることも知っておかなければならない」と語る。同氏は手動で直ちに強制アップデートするようにしているという。

　モバイル端末の不正侵害に関わる組織は、修正パッチが公開されていないiOSの脆弱性やエクスプロイトについて、「どんな情報でも喜んで利用するはずだ」とバッケン氏は語り、彼らはそうした脆弱性に関する情報を入手しても、AppleやGoogleに報告しないだろうと説明する。「われわれは、シルバノビッチ氏のようなセキュリティ研究者が、こうした問題を発見、報告し、修正を手助けしてくれることに感謝しなければならない」（同氏）

印刷する