Trusted Design

解説:

CVE-2021-30860は、Apple製品に影響を与える深刻な整数オーバーフローの脆弱性であり、「FORCEDENTRY」という名称でも知られています。この脆弱性は、悪意を持って細工されたPDFファイルを処理することで、ユーザーの操作なしに任意のコードが実行される可能性があります。実際にこの脆弱性が悪用されたことが確認されています。

---

1. 脆弱性の概要

CVE-2021-30860は、AppleのCoreGraphicsフレームワーク内のJBIG2画像コーデックに存在する整数オーバーフローの脆弱性です。この脆弱性は、PDFレンダリングの際に悪意を持って作成されたJBIG2ストリームを処理する際に発生します。この脆弱性は「FORCEDENTRY」とも呼ばれています。

この脆弱性はゼロクリック型であり、ユーザーがテキストメッセージを開いた後に特別な操作を行う必要なく、任意のコード実行を可能にします。 攻撃者は、悪意を持って細工されたPDFドキュメント（偽装されたGIFファイルとしてSMS経由で送信されることが多い）を利用して、この脆弱性を悪用します。 Appleは、この脆弱性が積極的に悪用されたことを確認しています。

1.1 影響

この脆弱性が悪用されると、任意のコード実行が可能になります。 攻撃者はサンドボックスを回避し、デバイスへの永続的なアクセスを獲得する可能性があります。

1.2 深刻度

この脆弱性は「クリティカル」なセキュリティ上の懸念事項とされています。 CISAの既知の悪用されている脆弱性カタログにも掲載されており、実世界での悪用が確認されています。

NVDによるCVSSv3.1の評価は以下の通りです。 * CVSSv3.1: AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H * 機密性（C:H）: 高い影響 * 完全性（I:H）: 高い影響 * 可用性（A:H）: 高い影響

ただし、NVDのUI:R（ユーザーインタラクション要）は、悪意のあるメッセージの受信が必要であることを指す場合がありますが、多くの情報源では、この脆弱性がユーザーの積極的な操作を必要としない「ゼロクリック」エクスプロイトとして説明されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性の影響を受けるApple製品およびOSバージョンは以下の通りです。 * iOS 14.8より前のすべてのiOSバージョン * iPadOS 14.8より前のすべてのiPadOSバージョン * macOS Big Sur 11.6より前のmacOS Big Surバージョン * Security Update 2021-005 Catalinaより前のmacOS Catalinaバージョン * watchOS 7.6.2より前のすべてのwatchOSバージョン

2.2 影響を受ける設定

悪意を持って細工されたPDFドキュメント（特にJBIG2ストリームを含むもの）を処理する際に脆弱性が発現します。 脆弱性はCoreGraphicsフレームワークに存在します。

3. 影響を受けた時の兆候

感染の兆候としては、以下が挙げられます。 * SMS経由で「悪意を持って細工されたPDFまたはPSDファイル（GIFとして偽装されたもの）」が受信された痕跡。 * 攻撃者のクリーンアップフェーズにおけるバグにより、iPhone上の特定のSQLデータベースに不整合な痕跡が残ることがあります。 これらの異常をローカルバックアップでスキャンするスクリプトも存在します。

4. 推奨対策

4.1 本対策

Appleから提供されているセキュリティアップデートを速やかに適用してください。 * iOS: iOS 14.8へアップデート * iPadOS: iPadOS 14.8へアップデート * macOS Big Sur: macOS Big Sur 11.6へアップデート * macOS Catalina: Security Update 2021-005 Catalinaを適用 * watchOS: watchOS 7.6.2へアップデート

4.2 暫定回避策（緩和策）

この脆弱性に対する具体的な暫定回避策は広く詳細には説明されていません。最も重要な対策は、前述のセキュリティアップデートを適用することです。攻撃は「ゼロクリック」で実行されるため、ユーザーの操作による回避は困難です。ただし、不審なメッセージや添付ファイルを開かないという一般的なセキュリティ対策は引き続き重要です。

5. 他に解説すべき観点

• 発見者: この脆弱性は、Citizen Labによって発見され、Appleに報告されました。
• ゼロデイ攻撃: 発見時点で既に悪用されていたため、「ゼロデイ」エクスプロイトとして分類されています。
• 悪用者: NSO GroupのPegasusスパイウェアによって悪用されていたことが知られています。

参照したサイト

• CVE-2021-30860: Apple iPadOS Integer Overflow RCE Flaw - SentinelOne
• Scan for evidence of CVE-2021-30860 (FORCEDENTRY) exploit - GitHub
• CVE-2021-30860: Apple Multiple Products Integer Overflow Vulnerability - Safeguard
• CVE-2021-30860: Integer Overflow or Wraparound | Rapid7 Vulnerability Database
• CVE-2021-30860 (FORCEDENTRY) エクスプロイトの痕跡をスキャン - Kitploit
• NVD-CVE-2021-30860 - NIST
• iOS 0-Click, CVE-2021-30860, sounds familiar. An unreleased write-up: one year later - Jamf Threat Labs
• 2021年十大漏洞利用 - 安全内参
• 蘋果iOS系統存在安全漏洞(CVE-2021-30858與30860)，允許攻擊者遠端執行任意程式碼
• 苹果设备零日漏洞威胁持续高发，今年已发生近十起针对性攻击事件 - 安全内参
• What you Need to Know about CVE-2021-30860 aka FORCEDENTRY w/ Chris Crowley
• CVE-2021-30860 – FORCEDENTRY zero-day exploit on Apple devices
• Analysis of CVE-2021-30860 - Objective-See's Blog
• About the security content of macOS Big Sur 11.6 - Apple Support