本日AppleがiOS18.1の配信を開始しましたが、併せてiOS17搭載端末向けにセキュリティアップデートの配信を開始しています。
iPhone XS以降のモデル向けにiOS17.7.1/iPadOS17.7.1が配信されており、CVE番号ベースで17件の脆弱性が修正されています。
Appleは全ユーザーに推奨の重要なセキュリティ修正が含まれているとしているので、iOS17/iPadOS17を利用中のユーザーは至急アップデートを適用しておきましょう。
iOS17.7.1のアップデート内容
iOS17.7.1のアップデート内容は以下の通りです。
このアップデートには重要なセキュリティ修正が含まれ、すべてのユーザに推奨されます。
Appleソフトウェアアップデートのセキュリティコンテンツについては、以下のWebサイトをご覧ください:
https://support.apple.com/ja-jp/100100
iOS17.7.1および iPadOS17.7.1 にて修正された脆弱性/セキュリティアップデートの内容
iOS17.7.1 および iPadOS17.7.1 にて修正された脆弱性/セキュリティアップデートの内容は以下の通りです。
Accessibility
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: ロックされたデバイスに物理的にアクセスできる攻撃者は、機密性の高いユーザー情報を閲覧できる可能性があります。
- 説明: 認証を強化することでこの問題を解決しました。
- CVE-2024-44274: Rizki Maulana (rmrizki.my.id), Matthew Butler, Jake Derouin
CoreText
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: 悪意を持って作成されたフォントを処理すると、プロセスメモリが漏洩する可能性があります。
- 説明: チェックを強化することでこの問題を解決しました。
- CVE-2024-44240: Hossein Lotfi (@hosselot) of Trend Micro Zero Day Initiative
CVE-2024-44302: Hossein Lotfi (@hosselot) of Trend Micro Zero Day Initiative
Foundation
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: ファイルを解析するとユーザー情報が漏洩する可能性がある
- 説明: 入力検証を改善することで、範囲外の読み取りに対処しました。
- CVE-2024-44282: Hossein Lotfi (@hosselot) of Trend Micro Zero Day Initiative
ImageIO
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: 画像を処理するとプロセスメモリが漏洩する可能性がある
- 説明: この問題は、チェックを強化することで解決されました。
- CVE-2024-44215: Junsung Lee working with Trend Micro Zero Day Initiative
ImageIO
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: 悪意を持って作成されたメッセージを処理すると、サービス拒否攻撃を受ける可能性がある
- 説明: この問題は、境界チェックを改善することで解決されました。
- CVE-2024-44297: Jex Amro
Kernel
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: アプリが機密カーネル状態を漏洩する可能性がある
- 説明: ログエントリのプライベートデータの編集を改善することで、情報漏洩の問題が解決されました。
- CVE-2024-44239: Mateusz Krzywicki (@krzywix)
Managed Configuration
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: 悪意を持って作成されたバックアップ ファイルを復元すると、保護されたシステム ファイルが変更される可能性があります。
- 説明: この問題は、シンボリックリンクの処理を改善することで解決されました。
- CVE-2024-44258: Hichem Maloufi, Christian Mina, Ismail Amzdak
MobileBackup
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: 悪意を持って作成されたバックアップ ファイルを復元すると、保護されたシステム ファイルが変更される可能性があります。
- 説明: ファイル処理を改善することでロジックの問題が解決されました。
- CVE-2024-44252: Nimrat Khalsa, Davis Dai, James Gill (@jjtech@infosec.exchange)
Safari
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: 悪意を持って作成されたウェブコンテンツは、iframe サンドボックス ポリシーに違反する可能性があります。
- 説明: 入力検証を強化することで、カスタム URL スキームの処理に関する問題に対処しました。
- CVE-2024-44155: Narendra Bhati, Manager of Cyber Security at Suma Soft Pvt. Ltd, Pune (India)
Safari Downloads
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: 攻撃者が信頼関係を悪用して悪意のあるコンテンツをダウンロードできる可能性がある
- 説明: この問題は、状態管理を改善することで解決されました。
- CVE-2024-44259: Narendra Bhati, Manager of Cyber Security at Suma Soft Pvt. Ltd, Pune (India)
SceneKit
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: 悪意を持って作成されたファイルを処理すると、アプリが予期せず終了する可能性があります。
- 説明: サイズ検証を改善することで、バッファ オーバーフローに対処しました。
- CVE-2024-44144: 냥냥
SceneKit
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: 悪意を持って作成されたファイルを処理するとヒープが破損する可能性があります
- 説明: この問題は、チェックを強化することで解決されました。
- CVE-2024-44218: Michael DePlante (@izobashi) of Trend Micro Zero Day Initiative
Shortcuts
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: 悪意のあるアプリがショートカットを使用して制限されたファイルにアクセスする可能性がある
- 説明: チェックを改善することでロジックの問題が解決されました。
- CVE-2024-44269: an anonymous researcher
Siri
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: サンドボックス化されたアプリがシステムログ内の機密ユーザーデータにアクセスできる可能性がある
- 説明: ログエントリのプライベートデータの編集を改善することで、情報漏洩の問題が解決されました。
- CVE-2024-44278: Kirin (@Pwnrin)
VoiceOver
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: 攻撃者がロック画面から制限されたコンテンツを閲覧できる可能性がある
- 説明: この問題は、ロックされたデバイスで提供されるオプションを制限することで解決されました。
- CVE-2024-44261: Braylon (@softwarescool)
WebKit
- 対象機種: iPhone XS以降のモデル、iPad Pro 13インチ、iPad Pro 12.9インチ（第2世代以降）、iPad Pro 10.5インチ、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第6世代以降）、iPad mini（第5世代以降）
- 影響: 悪意を持って作成された Web コンテンツを処理すると、コンテンツ セキュリティ ポリシーが適用されなくなる可能性があります。
- 説明: チェックを強化することでこの問題を解決しました。
- WebKit Bugzilla: 278765
- CVE-2024-44296: Narendra Bhati, Manager of Cyber Security at Suma Soft Pvt. Ltd, Pune (India)
コメント