編集部からのお知らせ
解説:広がるエッジAIの動向
Check! ディープラーニングを振り返る

グーグルのエンジニア、iOS脆弱性を突いた攻撃を明らかに--iOS 12.1.4への更新を推奨

Catalin Cimpanu (Special to ZDNet.com) 翻訳校正: 村上雅章 野崎裕子

2019-02-08 20:28

 Googleのセキュリティチーム「Google Project Zero」のチームリーダーであるBen Hawkes氏は米国時間2月7日、ハッカーが「iOS」に潜む2つの脆弱性を悪用し、「iPhone」などのユーザーへの攻撃を実際に行っていることを明らかにした。この攻撃は、Appleが同日「iOS 12.1.4」の公開を開始する前から発生していた。これら2つの脆弱性は、セキュリティ専門家が「ゼロデイ脆弱性」と呼ぶものだった。

 Hawkes氏は、この件についてツイートしたものの、どういった状況下でこれら2つの脆弱性が用いられていたのかは明らかにしていない。

 また本記事執筆時点では、これらのゼロデイ脆弱性が一般大衆を狙ったサイバー犯罪で悪用されているのか、標的を絞ったサイバー諜報活動で悪用されているのかも明らかになっていない。

 これら2つのゼロデイ脆弱性の共通脆弱性識別子はそれぞれ、「CVE-2019-7286」と「CVE-2019-7287」となっている。

 iOS 12.1.4のセキュリティ変更履歴(changelog)によると、CVE-2019-7286はiOSの中核コンポーネントの1つである「iOS Foundation」フレームワークに影響を与えるものだという。

 攻撃者は、悪意のあるアプリを通じてiOS Foundationコンポーネント内でメモリ破壊を発生させ、特権を昇格させることができる。

 もう1つのゼロデイ脆弱性であるCVE-2019-7287は、iOSにおけるまた別の中核フレームワークであり、ハードウェアとソフトウェアの間でのI/Oデータストリームを取り扱う「I/O Kit」に影響を及ぼすものだ。

 攻撃者は、悪意のあるアプリを用いることで、このフレームワーク内で上述した脆弱性とは別種のメモリ破壊を発生させ、カーネル特権を有した任意のコードを実行できるようになる。

 Appleは、これら2つの脆弱性を発見した「匿名のリサーチャーと、『Google Threat Analysis Group』のClement Lecigne氏、Google Project ZeroのIan Beer氏、同じくGoogle Project ZeroのSamuel Gros氏」に対して謝意を表している。

 米ZDNetは本記事公開前にAppleとGoogleにコメントを求めたものの、いずれからも回答は得られなかった。両社とも、これらゼロデイ脆弱性の具体的な情報を最小限にとどめることで、他の脅威アクターに詳細を察知されないようにしておきたいはずだという点を考えると、現時点で何らかのコメントが返ってくるとは考えづらい。

 AppleはiPhoneユーザーに対して、できる限り速やかに自らのデバイスをiOS 12.1.4にアップデートするよう推奨している。なおこのアップデートでは、少し前にニュースになった、「FaceTime」のグループ通話機能を用いて他者を盗聴できるというバグも修正されている

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

Special PR

特集

CIO

モバイル

セキュリティ

スペシャル

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]