AppleがiOSやmacOSの“脆弱性を公開”するとは事態はよほど深刻？：ゼロデイ脆弱性がApple製品に迫る【後編】

「iPhone」「Mac」といった同社製デバイスに影響を及ぼす脆弱性についてAppleが報告した。同社が脆弱性を公開する事態は、問題の深刻度を示すものだと専門家は指摘する。

[Alex Scroxton，TechTarget]

　Appleは2022年8月、同社製品に影響を及ぼす可能性のある2つのゼロデイ脆弱（ぜいじゃく）性について報告した。ゼロデイ脆弱性は、ベンダーが欠陥を解消する前に攻撃に悪用される脆弱性を指す。

　調査会社Comparitechのブライアン・ヒギンズ氏によると、AppleはMicrosoftと異なり、必ずしも特定のスケジュールに従って脆弱性やパッチ（修正プログラム）を公開しているわけではない。今回Appleが脆弱性を公開した事態は、それらの影響が深刻であることを示しているとヒギンズ氏は指摘する。

「Appleの脆弱性公開」が示す事態の深刻さ

併せて読みたいお薦め記事

連載：Appleが“危険なiOSとmacOS”の更新を促す事態に

• 前編：Appleが“危険なiOSとmacOS”の更新を促す事態に

脆弱性関連の注目記事

• ドローンやAirTagを“脆弱性まみれ”にしないための「製造者責任」とは？
• “あのファイル”がないとマルウェアが実行可能に　macOSにあった脆弱性の正体

　Appleが報告したのは、「CVE-2022-32893」「CVE-2022-32894」という2つの脆弱性。どちらも境界外書き込み（メモリ領域外への書き出し）に起因する欠陥だ。「iOS」「macOS Monterey」や、Webブラウザ「Safari」が影響を受ける可能性がある。同社はこの脆弱性を解消するパッチを公開した。

　ベンダーが提供する機能の中には、アプリケーションやデバイスを保護するために迅速な修正が必要になるものがある。「今回は、まさにそのケースだった」とヒギンズ氏は言う。

　今回の対処は、Appleにとっては例外的なものだった。同社は通常、製品の安全性確保についてはソフトウェアアップデートに依存しており、次のソフトウェアアップデートを待たずにパッチを公開するのは珍しい。「つまり、ユーザーは今回の脅威を真剣に受け止め、なるべく早く修正版に更新すべきだ」とヒギンズ氏は推奨する。

　脆弱性を公開することによるリスクの一つは、全世界のサイバー犯罪者に脆弱性の存在を知られてしまうことだ。Appleは今回、このリスクを踏まえた上で脆弱性を公開しており、この事実は脆弱性の深刻さを示している。

　Appleは2022年、複数のゼロデイ脆弱性の問題に対処している。「CVE-2022-22674」はIntel製CPUのグラフィックスドライバ「Intel Graphics Driver」に関する脆弱性で、Appleは「macOS Monterey」向けに、この脆弱性を解消したパッチを2022年4月に公開した。この脆弱性は境界外読み取り（メモリ領域外からの読み込み）に欠陥があり、カーネルメモリ（OSが使用するメモリ領域）からの情報漏えいに至る可能性があった。

　他にも2022年1月、Appleは脆弱性「CVE-2022-22586」のパッチを公開した。攻撃者はこの脆弱性を悪用することで、標的サーバに遠隔で任意のプログラムを実行させる「リモートコード実行」が可能となる。CVE-2022-22586は「iOS」と、「macOS Catalina」より前のバージョンの「macOS」における、入出力バッファ（データを一時的に保管する領域）のコンポーネントに存在した。

Computer Weekly発　世界に学ぶIT導入・活用術

米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。