Trusted Design

CVE-2021-30762 の詳細

CVEの情報

説明:
A use after free issue was addressed with improved memory management. This issue is fixed in iOS 12.5.4. Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited..

CVE更新日: 2021-09-08 14:15:10.300000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.109860000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2021-30762について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-30762は、AppleのWebKitブラウザエンジンに存在するUse-after-freeの脆弱性です。この脆弱性は、細工されたWebコンテンツを処理することで任意のコード実行につながる可能性があります。

1.1 影響

攻撃者が細工されたWebコンテンツをユーザーに閲覧させることで、影響を受けるデバイス上で任意のコードを実行される可能性があります。これにより、攻撃者はデバイスを完全に制御したり、機密情報を窃取したりする可能性があります。

1.2 深刻度

  • CVSS v3 基本評価値: 8.8 (High)
  • CISA KEVカタログへの登録: この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログに登録されており、実環境で積極的に悪用されたことが確認されています。
  • 優先度: Urgent（緊急）と評価されています。
  • EPSS: 30日以内に悪用される可能性を示すEPSSは10.99%（96パーセンタイル）であり、悪用される可能性が非常に高いことを示唆しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

主にiOS 12.5.4より前のバージョンのiOSを搭載した古いデバイスが影響を受けます。具体的には以下のデバイスが含まれます。

  • iPhone 5s
  • iPhone 6
  • iPhone 6 Plus
  • iPad Air
  • iPad mini 2
  • iPad mini 3
  • iPod touch (第6世代)

WebKitはiOS、macOS、tvOS、iPadOSを含むAppleのプラットフォームで使用されるブラウザレンダリングエンジンであるため、他のプラットフォームも影響を受ける可能性が示唆されていますが、明確な修正プログラムの対象としてiOS 12.5.4が挙げられています。

2.2 影響を受ける設定

特定の特別な設定は影響を受けませんが、悪意を持って作成されたWebコンテンツを処理する際に脆弱性がトリガーされます。攻撃にはユーザーの操作（例：悪意のあるウェブサイトの閲覧、細工されたウェブコンテンツを含むメールの開封など）が必要です。

3. 影響を受けた時の兆候

この脆弱性が悪用された際の具体的なユーザーが認識できる兆候については、検索結果に明示的な情報はありませんでした。任意のコード実行に成功した場合、攻撃者のペイロードに応じて、デバイスの異常な動作、新しいアプリケーションのインストール、データの窃取、デバイスの速度低下など、さまざまな形で現れる可能性があります。

4. 推奨対策

4.1 本対策

影響を受けるデバイスをiOS 12.5.4以降にアップデートしてください。このアップデートにより、メモリ管理が改善され、Use-after-freeの問題が修正されます。ベンダーの指示に従って速やかにアップデートを適用することが強く推奨されます。

4.2 暫定回避策（緩和策）

この脆弱性はすでに実環境で悪用されているため、最も推奨される対策はセキュリティアップデートを直ちに適用することです。パッチを適用できない場合の具体的な暫定回避策は、検索結果には明示されていませんでした。しかし、ウェブコンテンツの処理がトリガーとなるため、信頼できないウェブサイトへのアクセスや、不審なリンクのクリックを避けるなどの一般的なセキュリティ対策が考えられます。CISAによる修正期限は2021年11月17日でした。

他に解説すべき観点

  • ゼロデイ攻撃: この脆弱性は、発見およびパッチ適用される前に実環境で悪用されていたゼロデイ脆弱性でした。
  • 報告者: この脆弱性は匿名の研究者によって報告されました。
  • 脆弱性の種類: CWE-416 (Use After Free) に分類されます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る