Appleは木曜日、iOS、iPadOS、watchOS、macOS向けのセキュリティアップデートをリリースしました。このアップデートは、GoogleのProject Zeroバグハンターが報告した3つの脆弱性に加え、他者によって発見された悪用可能な脆弱性にも対処しています。iPhone、iPadなどに最新のソフトウェアをインストールすることで、これらのプログラミングミスに対処できます。
iPhoneの巨人である同社のセキュリティ情報によると、Project Zeroによって発見され報告された3つの脆弱性、CVE-2020-27930（リモートコード実行）、CVE-2020-27950（カーネルメモリリーク）、CVE-2020-27932（カーネル権限昇格）が、実際に悪用されているという。
CVE-2020-27930は、Appleのフォントパーサーに存在するバグで、細工されたフォントによって任意のコード実行が可能になる恐れがあります。CVE-2020-27950は、悪意のあるアプリケーションがカーネルメモリを開示できるバグです。CVE-2020-27950は、悪意のあるアプリケーションがカーネル権限で任意のコードを実行する方法を提供します。
これらを連鎖させて誰かのデバイスを乗っ取る方法、つまり、悪意を持って作成されたフォントが読み込まれるドキュメント、メッセージ、または Web ページを開かせ、それが解析されてカーネル権限でコード実行がトリガーされ、静かにハンドヘルドが乗っ取られる方法は、おそらく想像できるでしょう。
Apple は tvOS のセキュリティアップデートもリリースしましたが、このアップグレードではこれら 3 つの CVE はカバーされません。
Safari経由でMacやiPhoneからファイルを誤ってメールで送信させる巧妙な方法を紹介します。
続きを読む
Googleの脅威分析グループのディレクターであるシェーン・ハントリー氏は、Twitterで、脆弱性は特定の標的に対して悪用されているが、選挙介入には使用されていないと述べた以外、詳細は明らかにしなかった。
アップデートは、iOS 14.2 および iPadOS 14.2、watchOS 7.1、macOS 10.15.7、tvOS 14.2 と指定されています。
Appleは、iPhone 5sに遡り、現在のiOSリリースではサポートが終了した旧式のiPhoneモデル向けにもiOS 12.4.9をリリースしました。また、watchOSの旧リリースにもwatchOS 6.2.9および5.3.9の形でアップデートが提供されています。これは、サポート対象外のデバイスに対して例外を設けるほど深刻なバグであることを示唆しています。
iOS 14.2およびiPadOS 14.2アップデートは、Googleが報告した3件を含む合計24件の脆弱性（CVE）に対応しています。そのうち17件は任意コード実行を許すものですが、現在悪用されているのはProject Zeroの脆弱性のみと言われています。
開発者コナー・フォード氏によって発見されたCVE-2020-27902は、「iOSデバイスに物理的にアクセスできる人物が…認証なしで保存されたパスワードにアクセスする」可能性があるため、これはまさに好都合です。これはiOSキーボードのソフトウェアコンポーネントに存在し、コードのステートマシンを改善することで修正されました。
watchOS 7.1 アップデートでは 18 件の CVE が報告されています。
macOS 10.15.7 アップデートには、Project Zero のバグ 3 つだけが含まれています。
来週、Apple は初の Arm ベースの Apple Silicon ノートブックを発表する予定であり、同社にとって大きなチップ アーキテクチャの移行を示すものとなる。®
