Trusted Design

解説:

CVE-2019-7287について、以下の観点から解説します。

1. 脆弱性の概要

CVE-2019-7287は、AppleのiOSにおいて、不適切な入力検証によって引き起こされるメモリ破損の脆弱性です。この脆弱性が悪用されると、アプリケーションがカーネル権限で任意のコードを実行できるようになる可能性があります。

1.1 影響

この脆弱性が悪用された場合、攻撃者はカーネル権限で任意のコードを実行することが可能になります。これにより、特権昇格が発生し、攻撃者はシステムに対する広範な制御を獲得する可能性があります。実際に、この脆弱性は他の脆弱性と組み合わせて悪用され、iPhoneからキーチェーン、写真、SMSメッセージ、メールメッセージ、連絡先、メモ、録音、通話履歴、さらには主要なエンドツーエンド暗号化メッセージングクライアントからの暗号化されていないチャット履歴など、機密データを窃取するマルウェアのインストールに利用された事例が確認されています。また、デバイスの位置情報のリアルタイム監視も可能でした。

1.2 深刻度

CVSS v3.1基本評価スコアは 7.8 (High) と評価されています。

• CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
  • 攻撃元区分 (AV): Local (ローカル) - 攻撃は物理的にローカルまたは論理的にローカルなアクセスを必要とします。
  • 攻撃条件の複雑さ (AC): Low (低) - 特殊な条件や特定の条件下での攻撃は必要ありません。
  • 必要な特権レベル (PR): None (不要) - 攻撃者はシステムに特権を持っていません。
  • ユーザー関与レベル (UI): Required (必要) - 攻撃を成功させるには、ユーザーの操作が必要です。
  • スコープ (S): Unchanged (変更なし) - 脆弱性のあるコンポーネントが侵害されても、それによってセキュリティ境界が変更されることはありません。
  • 機密性への影響 (C): High (高) - 機密情報が完全に漏洩する可能性があります。
  • 完全性への影響 (I): High (高) - 完全な変更が可能であり、重要なシステムファイルの整合性が損なわれる可能性があります。
  • 可用性への影響 (A): High (高) - 完全なサービスの停止または永続的なシステムリソースの損失が発生する可能性があります。

この脆弱性は、CISAのKnown Exploited Vulnerabilities (KEV) カタログにもリストされており、実際に悪用されたことが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• iOS 12.1.3以前のバージョンが影響を受けます。
• 具体的には、iPhone 5s以降、iPad Air以降、およびiPod touch第6世代でこの脆弱性が存在していました。
• この問題はiOS 12.1.4で修正されました。

2.2 影響を受ける設定

この脆弱性は、com.apple.driver.ProvInfoIOKitというドライバーに関連しています。iOSアプリケーションが実行される通常のコンテナサンドボックスからこのドライバーへの接続は作成できないため、完全なiOSエクスプロイトチェーンにはサンドボックスエスケープが含まれていた可能性が高いと考えられます。特定の「設定」が脆弱性自体を直接引き起こすわけではなく、脆弱性のあるソフトウェア（ドライバー）の存在が問題となります。

3. 影響を受けた時の兆候

この脆弱性は、Googleによって発見されたゼロデイ攻撃チェーンの一部として、特定のウェブサイトへのアクセス（水飲み場型攻撃）を通じてマルウェアがデバイスにインストールされるために悪用されました。 直接的な脆弱性による兆候は特定が難しいですが、攻撃が成功した場合は以下の兆候が見られる可能性があります。

• 機密情報の窃取: キーチェーン、写真、SMSメッセージ、メール、連絡先、メモ、録音、通話履歴、暗号化されていないチャット履歴などが盗まれる。
• リアルタイム監視: デバイスの位置情報がリアルタイムで監視される。
• 異常な挙動: システムパフォーマンスの低下、バッテリー消費の増加、不明なアプリケーションのインストールなど、一般的なマルウェア感染の兆候。

4. 推奨対策

4.1 本対策

• iOSのアップデート: 影響を受けるデバイスのiOSをバージョン12.1.4以降にアップデートすることが唯一かつ最も重要な対策です。Appleは、入力検証の改善によりこのメモリ破損の問題に対処しました。

4.2 暫定回避策（緩和策）

この脆弱性に対して、特定の暫定的な回避策は公式には発表されていません。カーネル権限の昇格に関わる性質上、セキュリティパッチの適用が最も効果的で推奨される対策となります。

その他に解説すべき観点

• 発見と悪用の経緯: この脆弱性は、Google Project Zeroの研究者および匿名のリサーチャーによって発見されました。 特に注目すべきは、発見された時点で既に実社会で悪用されていたゼロデイ脆弱性であったことです。攻撃者は水飲み場型攻撃を仕掛けており、ユーザーが改ざんされたウェブサイトを訪問するだけで、iPhoneがマルウェアに感染し、監視される可能性がありました。この攻撃は、特定のターゲットを狙ったものではなく、不特定多数の訪問者を対象としていました。

参照したサイト

• CVE-2019-7287 | INCIBE-CERT
• CVE-2019-7287 — Patch first | CVE Explorer - Peter Bassill
• Is CVE-2019-7287 hidden in ProvInfoIOKitUserClient? | Antid0te SG Pte. Ltd.
• CVE-2019-7287 – Details CVSS, EPSS & CISA KEV - CVE Find
• 2023 Apple & iOS Vulnerabilities from CISA - Bitsight
• Unprecedented new iPhone malware discovered | Malwarebytes Labs