Trusted Design

CVE-2021-1789 の詳細

CVEの情報

説明:
A type confusion issue was addressed with improved state handling. This issue is fixed in macOS Big Sur 11.2, Security Update 2021-001 Catalina, Security Update 2021-001 Mojave, tvOS 14.4, watchOS 7.3, iOS 14.4 and iPadOS 14.4, Safari 14.0.3. Processing maliciously crafted web content may lead to arbitrary code execution.

CVE更新日: 2021-04-02 18:15:21.747000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2022-05-04

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.139750000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2021-1789に関する調査結果を以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-1789は、WebKitGTK、WPE WebKit、およびApple製品（macOS、iOS、iPadOS、tvOS、watchOS、Safari）に存在する型混乱の脆弱性です。この脆弱性は、悪意を持って作成されたウェブコンテンツを処理することで、任意のコード実行につながる可能性があります。 型の混乱の問題は、状態処理の改善によって対処されました。

1.1 影響

本脆弱性が悪用されると、攻撃者は任意のコードを実行できる可能性があります。 この脆弱性による最大の脅威は、データの機密性、完全性、およびシステムの可用性に対するものです。

1.2 深刻度

  • CVSS v3: 8.8 (High)
  • Red Hat: Moderate
    • NIST NVDではCVSS v3.1スコア8.8（High）が評価されており、CISAの既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog: KEV）にも追加されています。これは、この脆弱性が実際に悪用されたことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のOSバージョンおよび製品が影響を受けます。

  • macOS Big Sur 11.2より前のバージョン
  • Security Update 2021-001 Catalinaを適用していないバージョン
  • Security Update 2021-001 Mojaveを適用していないバージョン
  • tvOS 14.4より前のバージョン
  • watchOS 7.3より前のバージョン
  • iOS 14.4より前のバージョン
  • iPadOS 14.4より前のバージョン
  • Safari 14.0.3より前のバージョン
  • WebKitGTK および WPE WebKit バージョン 2.30.6より前のバージョン（または2.30.5以前）。
  • Debian: webkit2gtk (buster, unstable), wpewebkit (unstable) の修正版より前のパッケージ。

2.2 影響を受ける設定

WebKitの型混乱の脆弱性であり、悪意のあるウェブコンテンツを処理することでトリガーされるため、特定の「設定」が脆弱性を引き起こすわけではありません。脆弱なバージョンのWebKitが存在する環境が影響を受けます。

3. 影響を受けた時の兆候

この脆弱性は任意のコード実行を引き起こすため、直接的な「兆候」としてユーザーが認識できるようなエラーメッセージやクラッシュが常に発生するとは限りません。通常、攻撃が成功した場合、システムが密かに侵害され、予期せぬ動作、データ漏洩、またはシステム機能の悪用が発生する可能性があります。

4. 推奨対策

4.1 本対策

  • ベンダーからのアップデート適用: ベンダーから提供されているセキュリティアップデートを速やかに適用してください。
  • Apple製品:
    • macOS Big Sur 11.2以降にアップデート
    • Security Update 2021-001 Catalinaを適用
    • Security Update 2021-001 Mojaveを適用
    • tvOS 14.4以降にアップデート
    • watchOS 7.3以降にアップデート
    • iOS 14.4以降にアップデート
    • iPadOS 14.4以降にアップデート
    • Safari 14.0.3以降にアップデート
  • WebKitGTKおよびWPE WebKit: バージョン2.30.6以降にアップデートしてください。

4.2 暫定回避策（緩和策）

この脆弱性に対する具体的な暫定回避策は、ベンダーからは提供されていません。 根本的な解決策は、ベンダーが提供するパッチを適用することです。CISA KEVに記載されていることから、これは緊急の対応が必要な変更として扱われ、直ちにパッチを適用するか、システムを隔離し、過去の侵害がないか調査することが推奨されます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る