ソフトウェアのバグがすべてのAppleデバイスに影響

米国のセキュリティ企業Semmleの研究者、ケビン・バックハウス氏は、Appleの全デバイスに使用されているXNUオペレーティングシステムカーネルに6つのソフトウェア脆弱性を発見した。これらの脆弱性は、世界中で13億台以上のデバイスに影響を与えている。

Semmleの研究者によると、深刻な脆弱性はAppleのiOS、macOS、tvOS、watchOSオペレーティングシステムで使用されているXNUカーネルに存在するとのことです。バックハウス氏は、攻撃者はこれらの低レベルのソフトウェア欠陥を悪用することで、同じネットワーク上のあらゆるAppleデバイスを遠隔操作できる可能性があると述べています。

これらの脆弱性は、カーネルのネットワークコードとクライアント側のネットワークファイルシステム（NFS）実装に存在します。最初の脆弱性は、XNUカーネルのネットワークコードのICMPパケット処理モジュールに存在するヒープバッファオーバーフローの脆弱性（CVE-2018-4407）です。攻撃者はこのバグを悪用することで、ユーザーのマシン上で任意のコードを実行したり、データを抽出したり、再起動させたりする可能性があります。

バックハウス氏はまた、この脆弱性は非常に簡単に悪用できるため、サービス拒否攻撃として自動化され、ネットワーク上の影響を受けるすべてのデバイスがクラッシュし、組織全体が機能停止に陥る可能性があると警告した。攻撃者がこの脆弱性を悪用するためには、ユーザーの操作は不要である。

研究者がAppleのNFS実装で発見した5つのバグにより、攻撃者はユーザーのNFSマウントされたドライブ上のファイルの読み取り、書き込み、削除、さらにはアプリケーションのインストールやデバイス全体の消去も実行できる可能性があります。NFS実装のバグは主にmacOSマシンに影響します。

開示と緩和

バックハウス氏はSemmleでの業務の一環としてこれらの脆弱性を発見しました。彼は8月9日にAppleに対しICMPパケット処理の脆弱性を非公開で開示し、Appleは同日中にこれらのセキュリティ問題を認めました。Appleはまた、9月12日にiOS 12向け、9月24日にmacOS Mojave向けのパッチをリリースしました。

バックハウス氏は5月にAppleにNFS実装の脆弱性について伝え、Appleは7月9日にmacOSバージョン10.13.6でこれらの脆弱性を修正した。

Appleは10月30日にすべての脆弱性を公開しました。しかし、バックハウス氏は、iOS 12アップデートを適用したiOSデバイスはわずか60%に過ぎないと指摘しており、これはAppleユーザーの大部分が依然としてこれらのバグの一部の影響を受けていることを意味しています。まだAppleデバイスを最新バージョンにアップデートしていない場合は、今がアップデートのタイミングかもしれません。