「iMessage」でマルウェアを送り込む「iOS」を勝手に操作できる複数の脆弱性をGoogleのセキュリティチームが発見

Googleのセキュリティチーム「Project Zero」が、「iOS」の6つの脆弱性に関する情報を公開した。その中には、ユーザーの操作なしで攻撃が実行される脆弱性のPoCコードが含まれる。

[Michael Heller，TechTarget]

　2019年8月、Googleのセキュリティ分析チーム「Project Zero」の研究者が、「iOS」およびスマートウォッチ向けOS「watchOS」の6つの脆弱（ぜいじゃく）性に関する情報を公開した。いずれも攻撃者による遠隔操作に悪用される可能性がある。

　Project Zeroのセキュリティ研究者を務めるナタリー・シルバノビッチ氏とサミュエル・グロース氏は、以下の4つの脆弱性を発見した。これらは、勝手にプログラムを実行する「遠隔コード実行」（RCE：Remote Code Execution）による攻撃を引き起こす恐れがある。

• CVE-2019-8641
• CVE-2019-8647
• CVE-2019-8660
• CVE-2019-8662

　他方で、以下の2つの脆弱性は、攻撃者が遠隔操作して端末のデータを漏えいさせたり、ファイルを読み取ったりできるようにする恐れがある。

• CVE-2019-8624
• CVE-2019-8646

併せて読みたいお薦め記事

Apple製品のセキュリティ対策

• Apple独自のシングルサインオン「Sign In with Apple」は本当に安全か？
• iPhone最大のセキュリティリスクは「ダメなユーザー」　徹底したい安全3カ条とは

モバイル端末のセキュリティ対策

• モバイルアプリの大半は脆弱性まみれ、それでもデータを守る方法は？
• 「Android Q」「iOS 13」に新しく追加されたBYOD向け管理機能とは？
• 真っ向勝負「iOS」 vs. 「Android」、セキュリティ機能を比べてみた

　シルバノビッチ氏は、2019年8月上旬にラスベガスで開催されたセキュリティカンファレンス「Black Hat USA 2019」で、遠隔操作によるiOSへの攻撃に関する自身の発見について紹介した。この6つの脆弱性に関してAppleは、2019年7月公開の「iOS 12.4」と「watchOS 5.3」で修正パッチを提供した。

何に悪用されるのか