iOSメールのゼロクリック、ゼロデイ脆弱性がVIPスマートフォンの乗っ取りに悪用される。Appleはベータパッチを急いで公開

AppleはiOSの重大な脆弱性2件を修正したと報じられています。これらの脆弱性は、政府支援を受けたハッカーらが重要人物をスパイするために悪用しているものと思われます。標的は、経営幹部、ジャーナリスト、マネージドセキュリティサービスプロバイダーなどです。

ZecOpsの担当者は今週、これらのバグはiOSのメールアプリに埋め込まれており、被害者が仕掛けられたメッセージを開くことなく、リモートコード実行に悪用される可能性があると主張しました。デバイスがAppleのプログラミングミスを悪用するために特別に細工された受信メールを受信して​​処理するだけで、メッセージに埋め込まれた悪意のあるコードが実行されるとのことです。このコードは、被害者のオンライン活動を盗聴したり、干渉したりする可能性があります。

「これらの攻撃は、少なくとも1つの国家による脅威運営者、または概念実証（POC）レベルのエクスプロイトを第三者研究者から購入し、そのまま、もしくは若干の修正を加えて使用した国家と相関関係にあると我々は考えている」とZecOpsチームは述べた。

「ZecOpsはこれらの攻撃を特定の脅威アクターに帰属させることは控えているが、少なくとも1つの「ハッカーを雇う」組織が、電子メールアドレスを主な識別子として利用する脆弱性を利用したエクスプロイトを販売していることを認識している。」

これらのバグは、2012年にリリースされたiOSバージョン6以降から存在していたと言われています。ZecOpsは、2018年1月にバージョン11.2.2でハッカーがこれらの脆弱性を悪用しているのを確認したと述べています。現在、iOS 13.4.1以前のバージョンはすべて脆弱であることが判明しています。iOS 13は公式に利用可能な最新のメジャーバージョンです。

情報セキュリティ業界によると、これらの脆弱性は、不正な形式のメールをMailで取得する際に発生する、境界外書き込みとヒープオーバーフローの2つのエラーです。これらの欠陥自体は侵入者に侵入先のデバイスへの限定的なアクセスを許可するだけですが、カーネルレベルのセキュリティホールを悪用するエクスプロイトと連携することで、iThing全体へのアクセスをエスカレートできる可能性があるとのことです。ハッカーはカーネルレベルの権限昇格エクスプロイトを利用したと疑われています。

技術的な説明は次のとおりです。

研究者によると、最も重要なのはiOS 13ではメールアプリがバックグラウンドでメッセージを自動的にダウンロードする際に攻撃を実行できる点です。つまり、ユーザーの操作は不要です。データが取得・解析され、すぐにバグが悪用されます。iOS 12では、ユーザーがメールをタップして取得し、脆弱性を悪用する必要があるため、セキュリティは若干向上しているようです。とはいえ、「攻撃者がメールサーバーを制御すれば、iOS 12でもクリックなしで攻撃を実行できる」とも言われています。

報告されたバグに対する公式の単独パッチは現時点では存在しませんが、iOS 13.4.5の最新ベータ版で両方の脆弱性が修正されたと報告されているため、Appleからまもなくベータ版以外のアップデートが提供される予定です。ZecOpsによると、これらの脆弱性が悪用されているのを目撃したため、先月Appleに警告したとのことです。そのため、この問題を修正したベータ版がリリースされたとのことです。

パッチを適用できない場合、攻撃を心配している人は別の電子メール クライアントを使用してメールを無効にすることを ZecOps は推奨しています。

Google Project ZeroのJann Horn氏は、ZecOpsが公開したエクスプロイトの証拠は、Base64エンコードされたゼロバイトの誤りである可能性があると指摘しました。ZecOpsのCEOであるZuk Avraham氏は、自社のチームがエクスプロイト成功の証拠を発見したと主張しました。

iOSにおいて、任意コード実行の脆弱性は、ユーザーが意図的にデバイスを脱獄するために、あるいは悪意のある人物が密かにデバイスに監視ソフトウェアやその他のマルウェアを仕掛けるために悪用されることが多い。興味深いことに、研究者らは、どちらの脆弱性もメッセージ全体が読み込まれる前にエクスプロイトを実行できることを指摘している。つまり、ユーザーが何が起こったのかに気付く前に、スパイが汚染されたメッセージを削除することで、痕跡を隠蔽できる可能性があるのだ。

「注目すべきは、データからエクスプロイトメールが被害者のiOSデバイスで受信・処理されたことが確認されているにもかかわらず、メールサーバーに受信・保存されるはずの対応するメールが欠落していたことです」と研究者らは説明している。「したがって、これらのメールは攻撃者の運用上のセキュリティ対策の一環として意図的に削除されたと推測されます。」

繰り返しになりますが、報告された攻撃は範囲が限定されており、少数の高価値ターゲットのみを狙ったものとなっています。

とはいえ、今後1週間ほどはiOSのアップデートに注意し、速やかにインストールすることをお勧めします。こうしたバグは、他のサイバー犯罪者による模倣攻撃を引き起こす可能性が高いためです。また、前述の通り、ご心配な場合はiThingのメールアプリを無効にし、可能であれば別のクライアントアプリをご利用ください。®

追加更新

Appleは発見された脆弱性の脅威を軽視しているものの、いずれバグに対する公式修正をリリースする予定だと述べた。