セキュリティ研究家が“怒り”の公開 Apple「iOS」3つの脆弱性とはAppleとバグハンターの“対立”【前編】

あるセキュリティ研究者が、「iOS」に存在する3件の脆弱性の詳細を公表した。それぞれどのような脆弱性なのか。悪用されるとどのような影響があるのか。

2021年10月29日 05時00分 公開
[Shaun NicholsTechTarget]

関連キーワード

Apple | iOS | 脆弱性


 「illusionofchaos」ことセキュリティ研究者のデニス・トカレフ氏は、2021年9月に自らのブログのエントリ(投稿)で、Appleのバグ報奨金・脆弱(ぜいじゃく)性報告プログラム「Apple Security Bounty」(Appleセキュリティバウンティ)を批判した。同時に「Appleセキュリティバウンティが脆弱性をなおざりにしている」ことを理由に、「iOS」のゼロデイ(パッチ未配布)脆弱性3件の詳細を公表した。これらは「iOS 15.0」でも修正されていないとトカレフ氏は説明する。

“怒り”の研究者が公表した「iOS」3つの脆弱性

 トカレフ氏が公表した1つ目の脆弱性は「Gamed 0-day」だ。これは、Appleのアプリケーションストア「App Store」からインストールしたアプリケーションが、iOSデバイスユーザーやデバイスに関するデータにアクセスできるようになる可能性がある脆弱性だ。こうしたデータには連絡先、Appleサービスの共通アカウント「Apple ID」に登録しているメールアドレスと氏名、Apple IDの認証情報などがある。

 2つ目の脆弱性「Nehelper Enumerate Installed Apps 0-day」は、アプリケーションがデバイスをチェックし、特定のアプリケーションがデバイスにインストールされているかどうかを調べることができるというものだ。これは重大なプライバシーの侵害になる。

 3つ目の脆弱性「Nehelper Wifi Info 0-day」は、権限をチェックするアプリケーションに影響を与える。トカレフ氏によると、Nehelper Wifi Info 0-dayにより、位置情報へのアクセスなど特定操作の権限を要求するアプリケーションが、デバイスに保存されている無線LAN情報に権限なしでアクセスできるようになる恐れがある。

 トカレフ氏は、「iOS 14.7」で修正された脆弱性も報告した。この脆弱性は、iOSデバイスユーザーがインストールしたアプリケーションが、iOSデバイスの解析データにアクセスできるというものだ。この解析データには、ハードウェアやOSの仕様、アプリケーションの使用状況などに関するデータが含まれる。


 中編は、トカレフ氏を“怒り”の脆弱性公開に駆り立てた、Appleの脆弱性対処の姿勢を検証する。

TechTarget発 先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

ITmedia マーケティング新着記事

news149.jpg

最も利用率の高いショート動画サービスはTikTokではない?
ADKマーケティング・ソリューションズは、ショート動画に関する調査結果を発表しました。

news131.jpg

古くて新しいMMM(マーケティングミックスモデリング)が今注目される理由
大手コスメブランドのEstee Lauder Companiesはブランドマーケティングとパフォーマンス...

news087.png

Yahoo!広告 検索広告、生成AIがタイトルや説明文を提案してくれる機能を無料で提供
LINEヤフーは「Yahoo!広告 検索広告」において、ユーザーが誘導先サイトのURLを入力する...