Trusted Design

CVE-2021-1871 の詳細

CVEの情報

説明:
A logic issue was addressed with improved restrictions. This issue is fixed in macOS Big Sur 11.2, Security Update 2021-001 Catalina, Security Update 2021-001 Mojave, iOS 14.4 and iPadOS 14.4. A remote attacker may be able to cause arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited..

CVE更新日: 2021-04-02 19:15:20.663000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.070020000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-1871について、以下の観点で解説します。

1. 脆弱性の概要

WebKitGTKおよびWPE WebKitにおけるロジックの不備が発見された脆弱性です。これにより、リモートの攻撃者が任意のコードを実行できる可能性があります。この問題は、制限の強化によって対処されました。

1.1 影響

機密性、完全性、可用性に対する最も高い脅威は、データの侵害、改ざん、およびシステム停止です。攻撃者は悪意のある入力を使用してデータを変更したり、制御フローを予期しない方法で変更したり、プログラムをクラッシュさせたり、リソース割り当てを恣意的に制御してメモリやCPUなどのリソースを過剰に消費させたりする可能性があります。また、攻撃者がリソース参照を制御できる場合、機密データを読み取ることができる可能性があります。

1.2 深刻度

Red Hatでは「Moderate（中程度）」と評価しています。これは、WebKitGTKパッケージがGnomeパッケージの依存関係として出荷されており、Red Hat Enterprise Linuxにはこの脆弱性がより高い脅威となるWebKitGTKベースのWebブラウザが搭載されていないためです。 一方で、Appleはこの問題が積極的に悪用されたという報告を認識しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • WebKitGTKおよびWPE WebKit バージョン 2.32.0より前のバージョン
  • macOS Big Sur 11.2より前のバージョン
  • macOS Catalina用のSecurity Update 2021-001適用前のバージョン
  • macOS Mojave用のSecurity Update 2021-001適用前のバージョン
  • iOS 14.4より前のバージョン
  • iPadOS 14.4より前のバージョン
  • FedoraのWebKit2GTK3パッケージ
    • Red Hat Enterprise Linuxでは、WebKitGTKパッケージがGnomeパッケージの依存関係として提供されており、WebKitGTKベースのWebブラウザは含まれていないものの、影響を受ける可能性があります。

2.2 影響を受ける設定

この脆弱性は、バージョン2.32.0より前のWebKitGTKおよびWPE WebKitにおけるロジックの問題に起因します。 脆弱なバージョンのWebKitGTKまたはWPE WebKit、あるいはそれらを内包するApple製OSを使用している環境が影響を受けます。特定の「設定」というよりは、脆弱なソフトウェアバージョンを使用していること自体が問題となります。

3. 影響を受けた時の兆候

不明です。任意のコード実行は、明示的なユーザーの兆候なしに行われる可能性があります。

4. 推奨対策

4.1 本対策

  • WebKitGTKおよびWPE WebKit: バージョン2.32.0以降にアップデートしてください。
  • Apple製品:
    • macOS Big Surをバージョン11.2以降にアップデートしてください。
    • macOS CatalinaにはSecurity Update 2021-001を適用してください。
    • macOS MojaveにはSecurity Update 2021-001を適用してください。
    • iOSをバージョン14.4以降にアップデートしてください。
    • iPadOSをバージョン14.4以降にアップデートしてください。
  • Fedora: 関連するWebKit2GTK3パッケージのセキュリティアップデートを適用してください。

4.2 暫定回避策（緩和策）

不明です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る