Trusted Design

解説:

CVE-2016-4655に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2016-4655は、Apple iOSのカーネルにおける情報漏えい (Info-Leak) の脆弱性です。細工されたアプリケーションを介して、攻撃者がメモリから機密情報を取得できる可能性があります。この脆弱性は、入力検証の不備に起因し、カーネルメモリへの不適切なアクセスを許します。

この脆弱性は、悪名高いPegasusスパイウェアによって利用された「Trident」と呼ばれる3つのゼロデイエクスプロイトチェーンの一部でした。

1.1 影響

攻撃者は、細工されたアプリケーションを通じてカーネルメモリから機密情報を取得できます。 この情報漏えいは、カーネルアドレス空間配置のランダム化 (KASLR) を回避するために利用され、その後の任意のコード実行を可能にするための重要なステップとなります。 KASLRスライドの計算に必要なカーネルアドレスを漏えいさせることで、ROP（Return-Oriented Programming）のようなコード再利用攻撃に悪用される可能性があります。 結果として、機密データへの不正アクセス、データ漏えい、およびその後のさらなる悪用につながる可能性があります。

1.2 深刻度

• CVSSスコア: 5.5（Medium）
• CVSSv3スコア: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L/E:H/RL:O/RC:C (ただし、攻撃は「細工されたアプリ」を介して行われ、ユーザーの操作が必要であると説明されているため、AV:N/UI:Nは、アプリの配信方法に関するものか、あるいは完全な攻撃チェーンの開始点に関するものと考えられます。脆弱性自体の悪用には、細工されたアプリの実行というユーザーインタラクションが必要です。)
• CISA Known Exploited Vulnerabilities (KEV) カタログ: この脆弱性は、CISAのKnown Exploited Vulnerabilitiesカタログに掲載されており、実際の標的に対する悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• Apple iOS: iOS 9.3.5より前のバージョン
  • 具体的には、iPhone 4s以降、iPad 2以降、iPod touch (第5世代) 以降のiOS 9.3.5より前のバージョンが影響を受けます。
• OS X: OS X Yosemite v10.10.5およびOS X El Capitan v10.11.6もこの脆弱性の影響を受けました。

2.2 影響を受ける設定

特定の脆弱な設定は不明ですが、この脆弱性の悪用は「細工されたアプリケーション」の実行を必要とします。攻撃ベクトルはローカルであり、ユーザーが細工されたアプリを実行するための操作が必要です。

3. 影響を受けた時の兆候

この脆弱性自体は情報漏えいであり、直接的なユーザーが認識できる兆候は少ない可能性があります。しかし、この脆弱性がPegasusスパイウェアのようなより大規模な攻撃チェーンの一部として悪用された場合、以下の兆候が見られる可能性があります。

• デバイスが完全に侵害される（ジェイルブレイクされる）。
• マイクやカメラへのリモートアクセス。
• 様々なアプリからの音声メッセージやテキストメッセージへのアクセス。
• ログファイル、メール、その他のデバイスに保存されたデータへのアクセス。
• デバイス内のファイル、モバイルデータ、SIMカード、ネットワーク情報、GPS位置情報へのリモートアクセス。
• キーチェーンを介したWi-Fiまたはルーターのパスワードの収集。
• スパイウェアのコンポーネントがシステムサービスとして隠蔽される。
• ソフトウェアアップデートがブロックされ、Mobile Safariの履歴やキャッシュが消去され、検出を回避しようとする。

これらの兆候は、CVE-2016-4655単体ではなく、この脆弱性を利用したPegasusのような複合的なスパイウェアによってデバイスが侵害された場合のものです。

4. 推奨対策

4.1 本対策

• Appleが推奨するアップデートを適用すること。
• iOSデバイス: iOS 9.3.5以降にアップデートする。
• OS Xデバイス: Security Update 2016-001 El CapitanおよびSecurity Update 2016-005 Yosemiteを適用する。

4.2 暫定回避策（緩和策）

• 不審な活動がないか継続的に監視する。
• 構成の強化とネットワーク制御を実装し、露出をさらに減らす。
• デバイス管理ポリシーを定期的に見直す。
• 不審なリンクやアプリケーションにはアクセスしない、または実行しない。Pegasusによる初期攻撃は、不審なリンクを含むSMSメッセージから開始されました。
• 包括的なセキュリティ検証のためにペネトレーションテストを実施することを検討する。

他に解説すべき観点

• 共通脆弱性タイプ識別子 (CWE): CWE-200 (Exposure of sensitive information to an unauthorized actor - 許可されていないアクターへの機密情報の露出)。
• 発見者: Citizen LabとLookoutの研究者によって発見されました。

参照したサイト

• CVE-2016-4655 | Medium Vulnerability in Apple iOS - Appsecure Security
• Analysis and exploitation of Pegasus kernel vulnerabilities (CVE-2016-4655 / CVE-2016-4656) - jndok's blog
• NVD-CVE-2016-4655 - NIST
• CVE-2016-4655 - CVE Record
• CVE-2016-4655: Apple iOS Information Disclosure Vulnerability - Safeguard
• OS X patched against 'Pegasus' spyware exploits - iTnews
• Zero-day vulnerability in Apple iOS - Zero Day Initiative
• CVE-2016-4655 exploited: patch Apple iOS now - Senserva
• About the security content of iOS 9.3.5 - Apple Support
• CVE-2016-4655 — exploited in the wild (CISA KEV): remediation & advisories | VulnTrek
• About the security content of Security Update 2016-001 El Capitan and Security Update 2016-005 Yosemite - Apple Support
• Technical Analysis of the Pegasus Exploits on iOS - Lookout, Inc.
• NSO's zero-day vulnerability patched by Apple: Blocking Pegasus spyware - Hacking Loops
• Apple plugs three actively exploited iOS zero-days - Help Net Security
• Zero-day vulnerability in Apple iOS (Memory corruption CVE-2016-4656) - Zero Day Initiative
• 2023 Apple & iOS Vulnerabilities from CISA - Bitsight