Googleのセキュリティチーム「Google Project Zero」のチームリーダーであるBen Hawkes氏は米国時間2月7日、ハッカーが「iOS」に潜む2つの脆弱性を悪用し、「iPhone」などのユーザーへの攻撃を実際に行っていることを明らかにした。この攻撃は、Appleが同日「iOS 12.1.4」の公開を開始する前から発生していた。これら2つの脆弱性は、セキュリティ専門家が「ゼロデイ脆弱性」と呼ぶものだった。
Hawkes氏は、この件についてツイートしたものの、どういった状況下でこれら2つの脆弱性が用いられていたのかは明らかにしていない。
CVE-2019-7286 and CVE-2019-7287 in the iOS advisory today (https://t.co/ZsIy8nxLvU) were exploited in the wild as 0day.
— Ben Hawkes (@benhawkes) February 7, 2019
また本記事執筆時点では、これらのゼロデイ脆弱性が一般大衆を狙ったサイバー犯罪で悪用されているのか、標的を絞ったサイバー諜報活動で悪用されているのかも明らかになっていない。
これら2つのゼロデイ脆弱性の共通脆弱性識別子はそれぞれ、「CVE-2019-7286」と「CVE-2019-7287」となっている。
iOS 12.1.4のセキュリティ変更履歴（changelog）によると、CVE-2019-7286はiOSの中核コンポーネントの1つである「iOS Foundation」フレームワークに影響を与えるものだという。
攻撃者は、悪意のあるアプリを通じてiOS Foundationコンポーネント内でメモリ破壊を発生させ、特権を昇格させることができる。
もう1つのゼロデイ脆弱性であるCVE-2019-7287は、iOSにおけるまた別の中核フレームワークであり、ハードウェアとソフトウェアの間でのI/Oデータストリームを取り扱う「I/O Kit」に影響を及ぼすものだ。
攻撃者は、悪意のあるアプリを用いることで、このフレームワーク内で上述した脆弱性とは別種のメモリ破壊を発生させ、カーネル特権を有した任意のコードを実行できるようになる。
Appleは、これら2つの脆弱性を発見した「匿名のリサーチャーと、『Google Threat Analysis Group』のClement Lecigne氏、Google Project ZeroのIan Beer氏、同じくGoogle Project ZeroのSamuel Gros氏」に対して謝意を表している。
米ZDNetは本記事公開前にAppleとGoogleにコメントを求めたものの、いずれからも回答は得られなかった。両社とも、これらゼロデイ脆弱性の具体的な情報を最小限にとどめることで、他の脅威アクターに詳細を察知されないようにしておきたいはずだという点を考えると、現時点で何らかのコメントが返ってくるとは考えづらい。
AppleはiPhoneユーザーに対して、できる限り速やかに自らのデバイスをiOS 12.1.4にアップデートするよう推奨している。なおこのアップデートでは、少し前にニュースになった、「FaceTime」のグループ通話機能を用いて他者を盗聴できるというバグも修正されている。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
