Appleは、iOS/iPadOS/macOS向けに、ゼロデイ脆弱性に対する修正プログラムをリリースしました。
CVE-2021-30807と呼ばれるこの脆弱性は、IOMobileFramebufferと呼ばれるカーネル拡張機能に影響を与えるもので、開発者はデバイスのメモリが画面表示(正確にはスクリーンフレームバッファ)を処理する方法を制御することができます。
Appleによると、アプリケーションがCVE-2021-30807を悪用して、脆弱でパッチが適用されていないデバイス上でカーネル権限で任意のコードを実行する可能性があります。
カーネル権限にアクセスできるようになると、攻撃者はiPhone/iPad/macOSノートブックやデスクトップなどのデバイスを完全に制御できるようになります。
Appleは、iOS/iPadOS/macOSのセキュリティアドバイザリにおいて、この脆弱性が実世界で悪用されている可能性があるという報告を認識していると述べています
あるセキュリティ研究者が、自身のTwitterのタイムライン上で、CVE-2021-30807の脆弱性の概念実証コードを公開しました。
このアップデートは、macOSノートブック、デスクトップ、iPhone 6s以降、iPad Pro(全モデル)、iPad Air 2以降、iPad第5世代以降、iPad mini 4以降、iPod touch(第7世代)に適用可能です
今回のパッチは、アップル社が今年に入ってパッチを適用した13件目のゼロデイとなります。これまでのゼロデイは以下の通りです。
- CVE-2021-1782:macOS、iOS、iPadOS、watchOS、tvOS の各カーネルに影響を与えるゼロデイ。
- CVE-2021-1870:macOS、iOS、iPadOS、watchOS に影響を与える WebKit のゼロデイ。
- CVE-2021-1871:macOS、iOS、iPadOS、watchOS に影響を与える WebKit のゼロデイ
- CVE-2021-1879:新旧両方の iOS,iPadOS,watchOS に影響する WebKit のバグ
- CVE-2021-30657:macOS の Gatekeeper バイパスが Shlayer マルウェアに悪用される。
- CVE-2021-30661:新旧の iOS, iPadOS, watchOS, tvOS に影響する WebKit のゼロデイ。
- CVE-2021-30663:macOS、iOS、iPadOS、watchOS に影響する WebKit に関するゼロデイ。
- CVE-2021-30665:macOS、iOS、iPadOS、watchOS に影響を与える WebKit のゼロデイ。
- CVE-2021-30666:macOS、iOS、iPadOS、および watchOS に影響を与える WebKit のゼロデイ
- CVE-2021-30713:macOS の TCC バイパスが XCSSET マルウェアに悪用される
- CVE-2021-30761:旧世代の iOS デバイスに影響を与える WebKit のゼロデイ
- CVE-2021-30762:旧世代の iOS デバイスに影響する WebKit のゼロデイ
Comments