古いiPhoneを狙う攻撃、2024年の脆弱性の悪用を確認

やること

会社の iPhone と iPad を、使える範囲の最新のバージョンへ更新してください。

• iPhone 11 以降の最新は iOS 27.2 または iOS 26.7.2 です
• iPhone XS、XS Max、XR の最新は iOS 18.7.11 です
• Mac の最新は macOS 27.2、26.7.2、15.8.2 です

どれも10月26日に公開されたバージョンです。

何が危ないのか

CVE-2024-27834 は Web ページを表示する WebKit の欠陥で、Apple は2024年5月に修正しました。プログラムの不正な実行を防ぐポインター認証という仕組みを回避されるおそれがあります。

単独で端末を乗っ取るものではなく、すでにメモリを読み書きできる状態の攻撃者が次の段階で使います。CVSS は NVD の評価で 5.5 です。

米国の CISA は11月4日に、悪用が確認された脆弱性の一覧（KEV）へ追加しました。

セキュリティ企業の Sekoia は同じ日に、この欠陥を使う攻撃を報告しました。改ざんした Web サイトなどに来た人の端末を見分け、iOS 16.7 の端末から Cookie（ログイン状態などの記録）を盗むもので、利用者の操作は要りません。Sekoia は APT29 というグループの関与を中〜高の確度で評価しています。被害はウクライナを中心に欧州と米国に広がっています。

対象

上の表のバージョンが対象です。Sekoia によると、使われたのは修正済みの欠陥だけで、更新済みの端末は影響を受けません。