Trusted DesignCVE-2019-8526 の詳細
CVEの情報
説明:
A use after free issue was addressed with improved memory management. This issue is fixed in macOS Mojave 10.14.4. An application may be able to gain elevated privileges.
CVE更新日: 2019-12-18 18:15:24.223000
CVSSバージョン: 3.1
CVSSスコア: 7.8
KEVの情報
KEV更新日: 2023-04-17
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.007010000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2019-8526について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2019-8526は、macOSにおけるUse-after-freeの脆弱性です。この脆弱性は、改善されたメモリ管理によって対処されました。悪意のあるアプリケーションがこの脆弱性を悪用することで、高い権限を獲得する可能性があります。
1.1 影響
本脆弱性が悪用された場合、アプリケーションが昇格された権限（カーネル権限）を取得する可能性があります。 具体的には、Keychain内のパスワードにユーザーのプロンプトなしでアクセスできるようになるエクスプロイト（KeySteal）が存在します。
1.2 深刻度
CVSS v3.1の基本評価スコアは 7.8 (High) です。 CVSSベクトルは
AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hと評価されています。 この脆弱性は、CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性（Known Exploited Vulnerabilities：KEV）カタログに掲載されており、実際に悪用が確認されています。 CISA KEVカタログには2023年4月17日に追加されました。2. 対象となる環境
2.1 影響を受けるOSバージョン
macOS Mojave 10.14.4より前のバージョンが影響を受けます。具体的にはmacOS 10.14.3以前のバージョンです。
2.2 影響を受ける設定
特定の「影響を受ける設定」については記載されていません。この脆弱性はOSのメモリ管理に関する問題であり、OSのバージョンに依存します。
3. 影響を受けた時の兆候
本脆弱性の主要な影響は権限昇格であるため、直接的なシステムクラッシュやエラーなどの目に見える兆候がユーザーに現れるとは限りません。悪用された場合、攻撃者が高い権限を獲得し、Keychain内のパスワードにユーザーの許可なくアクセスする可能性があります。
4. 推奨対策
4.1 本対策
ベンダーの指示に従ってアップデートを適用することが推奨されます。 具体的には、macOS Mojave 10.14.4以降のバージョンへアップグレードすることで修正されます。 米国の連邦政府機関は、CISAの指令に基づき、2023年5月8日までにこの脆弱性を修正することが義務付けられていました。
4.2 暫定回避策（緩和策）
本脆弱性に対する具体的な暫定回避策は公開されていません。OSのメモリ管理に関する問題であるため、根本的な解決策はOSのアップデートを適用することです。
その他解説すべき観点
参照したサイト