iOSにシンボリックリンクの脆弱性 PoC公開済みのため急ぎ対処を：セキュリティニュースアラート
セキュリティ研究者が「iOS」のシンボリックリンクに関する脆弱性に対してPoCを公開した。この脆弱性が悪用されるとバックアップファイルが操作され、システム設定や権限を操作される可能性がある。
サイバーセキュリティ研究者は2024年11月3日（現地時間、以下同）、「iOS」に存在する脆弱（ぜいじゃく）性のPoC（概念実証）を公開した。
この脆弱性はAppleの「ManagedConfiguration」フレームワークおよびプロファイルデーモンにおけるシンボリックリンクの欠陥とされ、作成したバックアップファイルの復元中に攻撃者に制限された領域にアクセスされてしまう可能性がある。
iOSに深刻なセキュリティリスク、PoC公開済みのため要注意
この脆弱性はCVE-2024-44258として特定されており、共通脆弱性評価システム（CVSS）v3.1のスコアは7.1で深刻度「重要」（High）と評価されている。この脆弱性が悪用されるとバックアップファイルが操作され、システム設定や権限を操作される可能性がある。特にサンドボックス化された保護領域への不正なファイルアクセスが可能となり、権限の昇格やデータアクセスの不正行為が引き起こされるリスクが高まるとされている。
CVE-2024-44258についてはAppleも問題を認識しており、2024年10月28日にリリースされたAppleのセキュリティアップデートでシンボリックリンクの処理方法を改善することで解決したと発表している。
Appleによってこの脆弱性は修正されたが、サイバーセキュリティ研究者は数カ月間にわたりこの脆弱性が積極的に悪用されていると警告。さらに、このシンボリックリンクの欠陥を悪用した詳細なPoCも公開している。PoCにはこの脆弱性を悪用するためのバックアップ作成プロセスをシミュレーションするサンプルコードが含まれている。コードは実際に作成されたバックアップファイルを含めておらず、プロセスをシミュレートしながらバックアップにシンボリックリンクとファイルを追加する方法が示されている。
PoCが公開されたことでサイバー犯罪者がこのコードを悪用し、「iPhone」を含む多くのApple製品ユーザーを標的にする可能性がある。CVE-2024-44258の影響を受けるユーザーは速やかにアップデートを適用することが求められる。
Copyright © ITmedia, Inc. All Rights Reserved.
関連記事
イセトーのランサムウェア被害、その侵入経路は？【セキュリティニュースまとめ】
2024年10月は、VMware製品に関する脆弱性情報や新たなマルウェア、イセトーのランサムウェアの被害報告書の公開など多くのニュースが公開された。話題になったニュースをあらためて振り返ろう。
半数以上が「最新のパッチを適用済み」なのに、サイバー被害に遭うワケ
サイバー攻撃の被害を防ぐには一にも二にも最新のパッチ適用が重要です。ただ、最近のサイバー攻撃者の気になる動きから、これだけでは攻撃を防げない実態が見えてきました。
知っているようで意外と知らない？ “脆弱性管理”の解像度を上げよう
脆弱性管理の重要性については皆さん理解しているかと思いますが、これをどう進めればいいのか高い解像度を持って実行できている企業は多くない気がします。こうした中、待望のドキュメントが登場したので紹介します。
企業がOSSメンテナーに“ただ乗り” この風潮はいつ是正されるのか？
オープンソースソフトウェアの開発者と企業をはじめとしたソフトウェアユーザーとの間には、依然として格差が存在している。ソフトウェアユーザーが高いセキュリティ基準を求める一方で必要な投資をしないため、この風潮は変わっていない。