Trusted Design

CVE-2021-1870 の詳細

CVEの情報

説明:
A logic issue was addressed with improved restrictions. This issue is fixed in macOS Big Sur 11.2, Security Update 2021-001 Catalina, Security Update 2021-001 Mojave, iOS 14.4 and iPadOS 14.4. A remote attacker may be able to cause arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited..

CVE更新日: 2021-04-02 19:15:20.567000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.077100000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-1870に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2021-1870は、Apple WebKitのロジックに関する脆弱性です。WebKitの制限処理における論理的な問題により、リモートの攻撃者が任意のコードを実行できる可能性があります。Appleは、この問題が悪用されたという報告を認識しており、CISA（サイバーセキュリティ・社会基盤安全保障庁）のKnown Exploited Vulnerabilities（KEV）カタログにも追加されています。

1.1 影響

  • リモートの攻撃者によって任意のコードが実行される可能性があります。
  • データやシステムの機密性、完全性、可用性が損なわれる恐れがあります。
  • CWE-20 (Improper Input Validation) に関連付けられることもありますが、NVDでは特定のCWEが割り当てられていません。

1.2 深刻度

  • CVSSv3スコア: 9.8 (Critical)
    • CVSSv3ベクトル: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
      • 攻撃経路 (AV:N): ネットワーク経由で攻撃可能です。
      • 攻撃の複雑さ (AC:L): 攻撃の複雑さは低いです。
      • 必要な特権レベル (PR:N): 攻撃には特権は必要ありません。
      • ユーザーインタラクション (UI:N): ユーザーの操作は不要です。
      • スコープ (S:U): スコープは変更されません。
      • 機密性への影響 (C:H): 機密性への影響は高いです。
      • 完全性への影響 (I:H): 完全性への影響は高いです。
      • 可用性への影響 (A:H): 可用性への影響は高いです。
  • EPSS (Exploit Prediction Scoring System) スコアも高く、悪用の可能性が高いことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のOSバージョンが影響を受けます。

  • Apple iOS: 14.4 より前のバージョン
  • Apple iPadOS: 14.4 より前のバージョン
  • Apple macOS:
    • macOS Big Sur 11.2 より前のバージョン (具体的には 11.0.1 以上 11.2 未満)
    • Security Update 2021-001 Catalina 未適用 の macOS Catalina (10.15.7)
    • Security Update 2021-001 Mojave 未適用 の macOS Mojave
  • WebKitGTK: 2.30.6 より前のバージョン
  • Fedora Linux: 32および33

2.2 影響を受ける設定

特定の「設定」ではなく、WebKitレンダリングエンジンのロジックの問題に起因します。脆弱性はネットワーク経由でアクセス可能であり、攻撃に低い複雑性、特権の不要、ユーザーの操作不要という特性を持つため、影響を受けるソフトウェアが動作していれば、特別な設定なしに脆弱な状態となります。

3. 影響を受けた時の兆候

この脆弱性は任意のコード実行を可能にするため、攻撃者はデバイス上で悪意のあるプログラムを密かに実行する可能性があります。そのため、一般的なユーザーが直接的に認識できるような明確な兆候は不明です。デバイスのパフォーマンス低下、異常なデータ使用量、不審なネットワーク活動などが間接的な兆候となる可能性はありますが、CVE-2021-1870に特化した具体的な兆候は参照情報には記載されていません。

4. 推奨対策

4.1 本対策

影響を受ける各製品の最新バージョンへのアップデートが恒久的な対策です。Appleはこの問題を、制限の改善またはメモリ処理の改善によって対処しました。

  • Apple iOS: iOS 14.4 以降へアップデート
  • Apple iPadOS: iPadOS 14.4 以降へアップデート
  • Apple macOS:
    • macOS Big Sur 11.2 以降へアップデート
    • macOS Catalina には Security Update 2021-001 Catalina を適用
    • macOS Mojave には Security Update 2021-001 Mojave を適用
  • WebKitGTK: 2.30.6 以降へアップデート
  • Fedora Linux: 各ベンダーが提供するセキュリティアップデートを適用してください (例: Fedora Update Notification: FEDORA-2021-619711d709, FEDORA-2021-864dc37032)

4.2 暫定回避策（緩和策）

この脆弱性に対する具体的な暫定回避策（緩和策）は、参照情報には明記されていません。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る