グーグルエンジニア、iOSの脆弱性を突いた攻撃を確認…12.1.4へ更新を

Googleのセキュリティチーム「Google Project Zero」のチームリーダーであるBen Hawkes氏は米国時間2月7日、ハッカーが「iOS」に潜む2つの脆弱性を悪用し、「iPhone」などのユーザーへの攻撃を実際に行っていることを明らかにした。この攻撃は、Appleが同日「iOS 12.1.4」の公開を開始する前から発生していた。これら2つの脆弱性は、セキュリティ専門家が「ゼロデイ脆弱性」と呼ぶものだった。

Hawkes氏は、この件についてツイートしたものの、どういった状況下でこれら2つの脆弱性が用いられていたのかは明らかにしていない。

また本記事執筆時点では、これらのゼロデイ脆弱性が一般大衆を狙ったサイバー犯罪で悪用されているのか、標的を絞ったサイバー諜報活動で悪用されているのかも明らかになっていない。

これら2つのゼロデイ脆弱性の共通脆弱性識別子はそれぞれ、「CVE-2019-7286」と「CVE-2019-7287」となっている。

iOS 12.1.4のセキュリティ変更履歴（changelog）によると、CVE-2019-7286はiOSの中核コンポーネントの1つである「iOS Foundation」フレームワークに影響を与えるものだという。

攻撃者は、悪意のあるアプリを通じてiOS Foundationコンポーネント内でメモリ破壊を発生させ、特権を昇格させることができる。

もう1つのゼロデイ脆弱性であるCVE-2019-7287は、iOSにおけるまた別の中核フレームワークであり、ハードウェアとソフトウェアの間でのI/Oデータストリームを取り扱う「I/O Kit」に影響を及ぼすものだ。

攻撃者は、悪意のあるアプリを用いることで、このフレームワーク内で上述した脆弱性とは別種のメモリ破壊を発生させ、カーネル特権を有した任意のコードを実行できるようになる。

Appleは、これら2つの脆弱性を発見した「匿名のリサーチャーと、『Google Threat Analysis Group』のClement Lecigne氏、Google Project ZeroのIan Beer氏、同じくGoogle Project ZeroのSamuel Gros氏」に対して謝意を表している。
（中略）
AppleはiPhoneユーザーに対して、できる限り速やかに自らのデバイスをiOS 12.1.4にアップデートするよう推奨している。なおこのアップデートでは、少し前にニュースになった、「FaceTime」のグループ通話機能を用いて他者を盗聴できるというバグも修正されている。

https://japan.cnet.com/article/35132519...

返信する

第三のosが必要だな

返信する