Apple製品に20年もののバグ 影響を受けるOSと回避方法は？：セキュリティニュースアラート
サイバーセキュリティ研究者が複数のApple製品に存在する脆弱性「CVE-2023-32428」のPoCを公開した。この脆弱性はAppleのフレームワーク「MallocStackLogging」に存在し、悪用により特権昇格が可能となる。
バグバウンティハンターとして活動するゲルゲイ・カルマン氏は2024年11月24日（現地時間）、複数のApple製品に存在する脆弱（ぜいじゃく）性「CVE-2023-32428」に関するPoC（概念実証）を公開した。この脆弱性はAppleの「MallocStackLogging」というフレームワークに存在しており、悪用された場合、システム権限が乗っ取られる可能性がある。
MallocStackLoggingは、アプリケーションのメモリ割り当てをデバッグするために使用されるフレームワークで、「macOS」を含むAppleの主要なOSに20年以上にわたり組み込まれている。
このフレームワークは特定の環境変数が検出されると自動的にプロセスにロードされ、メモリ割り当て情報をログファイルに書き込む仕組みを持っている。攻撃者がこの仕組みを悪用することで意図しない場所にファイルを作成して特権の昇格を試みることが可能であることが報告されている。
Apple製品に20年もののバグ 影響を受けるOSと回避方法は？
MallocStackLoggingに見つかった脆弱性は同研究者が2023年3月に発見し、Appleがセキュリティアップデートで修正している。この脆弱性が修正されたOSは以下の通りだ。
- macOS Ventura 13.4およびこれ以降のバージョン
- iOS 16.5およびこれ以降のバージョン
- iPadOS 16.5およびこれ以降のバージョン
- tvOS 16.5およびこれ以降のバージョン
- watchOS 9.5およびこれ以降のバージョン
CVE-2023-32428を発見したカルマン氏は、MallocStackLoggingが使用するファイルの書き込み操作に関連する複数の緩和策を分析し、その回避方法を紹介している。また特権昇格が可能となるエクスプロイトコードを公開している。
PoCが公開されたことでサイバー犯罪者がこのコードを悪用し、多くのAppleユーザーを標的にする可能性がある。まだ古いバージョンを使用しているユーザーは速やかにアップデートを適用することが望まれる。
Copyright © ITmedia, Inc. All Rights Reserved.
関連記事
クレジットカードを少額で不正利用されていない？ 巧妙な新手口を解説
サイバー攻撃は個人にとっても無関係ではありません。特にフィッシング攻撃の進化は著しく、新しい手法が日々確認されています。今回は筆者が気になる最新のフィッシング手法を紹介しましょう。
FortiClient VPNサーバに見つかった“ヤバい問題” Fortinetは脆弱性と認めず
FortiClient VPNサーバから認証成功ログを記録しない問題が発見された。この欠陥はFortinetに報告されたが脆弱性として認められていない。この問題を悪用されるとどのようなリスクが生じるのか。
セキュリティ運用は手綱を握れ リクルートSOCリーダーが語るマネージドサービスの本質
セキュリティ人材が不足する昨今、マネージドサービスをいかにうまく活用して負担を低減させるかがセキュリティ組織の重要なテーマだ。リクルートのSOCリーダーが任せる業務／自組織でやるべき業務の基準を語った。
Google Playの審査をかいくぐるトロイの木馬に要注意 合計200万回ダウンロード
Cybersecurity Newsは2024年11月12日（現地時間）、Google Playから配布された複数のアプリにトロイの木馬「Android.FakeApp」の亜種が含まれていたと報じた。危険なアプリの一覧も明らかになっている。