Trusted Design

解説:

CVE-2021-30665について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-30665は、WebKitコンポーネントにおけるメモリ破損の脆弱性です。悪意を持って作成されたWebコンテンツを処理することで、任意のコードが実行される可能性があります。Appleはこの脆弱性が積極的に悪用された可能性があるという報告を認識しています。

1.1 影響 悪意を持って作成されたWebコンテンツを処理することにより、任意のコードが実行される可能性があります。 攻撃者は、システム上で機密データを読み取ったり、情報を改ざんしたり、サービス運用妨害（DoS）状態を引き起こしたりする可能性があります。

1.2 深刻度 CVSS v3.1のスコアは8.8（High、高い）と評価されています。 この脆弱性は、ユーザーが特別に細工されたWebサイトにアクセスするよう誘導されることで悪用される可能性があります。

2. 対象となる環境

2.1 影響を受けるOSバージョン この脆弱性は以下のApple製品のバージョンに影響を与えます。 * watchOS 7.4.1より前のバージョン * iOS 14.5.1およびiPadOS 14.5.1より前のバージョン（iOS 12.5.3より前のバージョン、iOS 13.0から14.5.1までのバージョンを含む） * tvOS 14.6より前のバージョン * macOS Big Sur 11.3.1より前のバージョン

また、Red Hat Enterprise Linuxでは、webkitgtk、webkitgtk4、webkit2gtk3パッケージが影響を受けます。

2.2 影響を受ける設定 本脆弱性はWebKitコンポーネントが関与しており、悪意を持って作成されたWebコンテンツの処理に起因します。 WebブラウザやWebビューをデフォルトで使用している環境が影響を受けます。特定の「設定」というよりは、影響を受けるOSやソフトウェアを実行していることが前提となります。

3. 影響を受けた時の兆候

この脆弱性が悪用された際の具体的な兆候（Indicators of Compromise: IoC）は、検索結果には明示されていません。しかし、任意のコード実行が発生した場合、以下のような異常が観察される可能性があります。 * 予期しないシステムの動作やクラッシュ * 不審なネットワーク通信 * データの持ち出し（情報漏洩） * システム設定の不正な変更 * 新しい不正なプロセスやファイルの生成

4. 推奨対策

4.1 本対策 各ベンダーから提供されているセキュリティアップデートを適用することが、最も推奨される対策です。

• Apple製品の場合:
  • watchOS 7.4.1へアップデート
  • iOS 14.5.1およびiPadOS 14.5.1へアップデート
  • iOS 12.5.3へアップデート
  • tvOS 14.6へアップデート
  • macOS Big Sur 11.3.1へアップデート
• Red Hat Enterprise Linuxの場合:
  • webkitgtk、webkitgtk4、webkit2gtk3パッケージを修正済みのバージョンにアップデートする。

4.2 暫定回避策（緩和策） 検索結果には、本脆弱性に対する具体的な暫定回避策や緩和策は記載されていません。 Webコンテンツの処理に関する脆弱性であるため、信頼できないWebサイトへのアクセスを避けるなど、一般的なWebブラウジングにおけるセキュリティ対策を強化することが間接的な緩和策となります。

参照したサイト

• CVE-2021-30665 - Red Hat Customer Portal
• CVE-2021-30665 - CVE Record
• CVE-2021-30665 - Vulnerability-Lookup
• CVE-2021-30665 | Tenable®
• macOS Big Sur 11.3.1 のセキュリティコンテンツについて - Apple サポート (日本)
• NVD-CVE-2021-30665 - NIST
• JVNDB-2021-013501 - JVN iPedia - 脆弱性対策情報データベース
• CVE-2021-30665 - Alpine Security Tracker