「iMessage」に脆弱性、スパイウェア「Pegasus」の感染から発覚　AppleがiOSやmac OSなどに対策アップデート配信

公開 2021年09月14日 19時39分

更新 2021年09月14日 07時39分

[ITmedia]

印刷する

　カナダ・トロント大学に拠点を持つセキュリティ機関「The Citizen Lab」は9月13日（現地時間）、米Appleのメッセージアプリ「iMessage」でゼロデイの脆弱性（CVE-2021-30860）を確認したと発表した。Appleは14日、対策アップデートとしてiOS 14.8／iPad OS 14.8を配信した。

　サウジアラビアの活動家が所有する端末を調査したところ、スパイウェア開発を手掛けるイスラエルNSO Groupのスパイウェア「Pegasus」に感染しており、分析によって脆弱性の存在が判明したという。同機関ではこの脆弱性を使ったエクスプロイト（攻撃）を「FORCEDENTRY」（無理やりな侵入の意）と命名。ユーザー側で操作せずとも感染してしまうゼロクリックの攻撃で、少なくとも2021年2月から使用されていたという。

　脆弱性は、画像レンダリングライブラリ（CoreGraphics）の整数オーバーフローに関するもの。Appleによると、悪意のあるPDFを処理すると任意のコードが実行される可能性があるとしている。iOS/iPad OS以外のデバイスにも影響があり、watch OSは7.6.2、mac OSはBig Sur 11.6を配信。iOS／iPad OS／mac OSのアップデートにはCoreGraphicsの他、WebKitに関する脆弱性も修正されている。

印刷する