WebKitの脆弱性がAppleの2024年最初のメジャーセキュリティアップデートのきっかけとなる

Apple は、自社のエコシステム全体にわたる複数の脆弱性に対する一連のパッチを公開しました。その中には、Safari Web ブラウザの基盤を形成するオープンソースの WebKit ブラウザ エンジンで発見された重大なゼロデイ脆弱性も含まれています。

問題の脆弱性は CVE-2024-23222 として追跡されており、すでに米国サイバーセキュリティ・インフラセキュリティ庁 (CISA) の悪用された既知の脆弱性 (KEV) リストに追加されているため、特に影響が大きい可能性があります。 Appleは「この問題が悪用された可能性があるという報告を認識している」と述べた。

CVE-2024-2322 は、悪意を持って作成された Web コンテンツを処理することにより、攻撃者が被害者のデバイス上で任意のコードを実行できる可能性があるタイプの混乱の問題です。

このパッチは、iPhone や iPad から Mac、さらには Apple TV まで、広範囲の Apple デバイスをカバーしています。 影響を受けるデバイスとオペレーティング システムのバージョンの詳細については、Apple から入手できます。

iOS と Android デバイスの両方にわたるモバイル アプリ防御の専門家である AppDome のセキュリティ製品担当副社長であるアラン バヴォサ氏は、ゼロデイについて次のようにコメントしています。が懸念されている。

「リモートコード実行、スパイウェア、カーネルエクスプロイトを含む認識されている潜在的な攻撃ベクトルは、攻撃者がiOSデバイスを完全に制御し、実行中の保護されていないアプリやアカウントを侵害する可能性があるため、モバイルセキュリティの領域におけるこの脅威の深刻さを強調しています。デバイス上で」と彼は言いました。

Apple は伝統的に自社製品の脆弱性について口を閉ざしており、より多くの脅威アクターによる悪用を防ぐために必要最低限以上の情報を提供することはほとんどありません。今年最初の主要なセキュリティ アップデートでも同様です。同社はそれ以上の情報を提供しませんでした。搾取の程度や、その背後に誰がいるのかなど。

過去には、同社の製品、特に iPhone に影響を与えるゼロデイは、政府の顧客に自社の製品やサービスを販売しながら、合法的なビジネスとして運営する傭兵スパイウェア会社によって悪用されることが多く、活動家などの要注意人物をスパイするためにそれらを使用していました。ジャーナリストと政敵。

この最も有名な最近の例は、不名誉なイスラエル企業 NSO グループによって開発され、2018 年の殺人事件に関与したマルウェアである Pegasus です。 ワシントンポスト ジャーナリストでサウジアラビアの反体制派ジャマル・カショギ氏がトゥルキエにて。

関連ニュースとして、Appleが2021年11月に起こしたNSOに対する訴訟は、イスラエルでの裁判を支持して訴訟を却下するというNSOの要求を米国の判事が却下し、今週Appleに有利に進められた。 NSOは、米国で裁判が進めば本国よりもさらに多くの困難に直面すると主張していた。

ジェームズ・ドナト判事は判決の中で、米国のコンピュータ詐欺および不正行為に関する法律とカリフォルニア州の不当競争法の違反を理由にアップルが訴訟を起こした根拠も認めた。

NSOはAppleの苦情に答えるために2月14日のバレンタインデーまでの猶予が与えられており、さらなる事件管理公聴会は4月に予定されている。

Appleの広報担当者は記者団に対し、傭兵のスパイウェア開発者からユーザーを守る取り組みを続けると語った。