Trusted DesignCVE-2021-30952 の詳細
CVEの情報
説明:
An integer overflow was addressed with improved input validation. This issue is fixed in tvOS 15.2, macOS Monterey 12.1, Safari 15.2, iOS 15.2 and iPadOS 15.2, watchOS 8.3. Processing maliciously crafted web content may lead to arbitrary code execution.
CVE更新日: 2021-08-24 19:15:21.777000
CVSSバージョン: 3.1
CVSSスコア: 7.8
KEVの情報
KEV更新日: 2026-03-05
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.069640000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2021-30952について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2021-30952は、Apple製品およびWebKit関連ソフトウェアに存在する整数オーバーフローの脆弱性です。入力検証の改善によって対処されました。
1.1 影響 悪意を持って作成されたWebコンテンツを処理すると、任意のコードが実行される可能性があります。また、場合によってはアプリケーションの停止やクラッシュ、データ破損、またはサービス拒否（DoS）につながる可能性があります。
1.2 深刻度 この脆弱性の深刻度は「高」と評価されています。 * CVSS v3.1 Base Score: 7.8 * EPSS (Exploit Prediction Scoring System) 確率: 6.96%〜7.0%（全CVEの94%よりも悪用される可能性が高いことを示します）。 * 悪用状況: CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実際に悪用が確認されています。
2. 対象となる環境
この脆弱性は、WebKitエンジンの脆弱性であり、WebKitを使用するAppleの各種OSやブラウザ、およびWebKitGTK、WPE WebKitに影響を与えます。
2.1 影響を受けるOSバージョン * tvOS: 15.2未満 * macOS Monterey: 12.0以上12.1未満 * Safari: 15.2未満 * iOS: 15.2未満 * iPadOS: 15.2未満 * watchOS: 8.3未満 * WebKitGTK: 2.34.4未満 * WPE WebKit: 2.34.4未満 * Appleデバイス: iPhone 6s以降、iPad Pro（すべてのモデル）、iPad Air 2以降、iPad（第5世代以降）、iPad mini 4以降、iPod touch（第7世代） * その他: Debian LinuxやFedora、Red Hat Enterprise Linuxの一部のパッケージもWebKitGTKの関連で影響を受ける可能性があります。
2.2 影響を受ける設定 本脆弱性は、悪意を持って作成されたWebコンテンツの処理に関連しているため、WebKitをWebコンテンツのレンダリングに使用する環境（ブラウザやWebKitを組み込んだアプリケーションなど）が影響を受けます。特定の「設定」が脆弱性の直接的な原因となるわけではありません。
3. 影響を受けた時の兆候
この脆弱性が悪用された場合、主に任意のコード実行が引き起こされます。直接的な兆候としては、アプリケーションの停止やクラッシュが発生する可能性があります。また、整数オーバーフローがループのインデックス変数で発生した場合、無限ループやメモリ、ファイルハンドルなどのリソース枯渇につながる可能性もあります。データ破損が発生することもあります。
4. 推奨対策
4.1 本対策 各ベンダーが提供するセキュリティアップデートを適用することが最も重要です。 * Apple製品: tvOS 15.2、macOS Monterey 12.1、Safari 15.2、iOS 15.2、iPadOS 15.2、watchOS 8.3で修正されています。 * WebKitGTK: 2.34.4-0ubuntu0.20.04.1で修正されています。 CISAは、2026年3月26日をこの脆弱性の是正期限としています。この脆弱性は「緊急の変更として扱い、今すぐパッチ適用または隔離し、以前の侵害がないか調査する」べきとされています。
4.2 暫定回避策（緩和策） ベンダーの指示に従って緩和策を適用するか、該当するBOD 22-01ガイダンス（クラウドサービス向け）に従うか、緩和策が利用できない場合は製品の使用を中止することが推奨されています。 * 影響を受けるシステムを隔離する。 Webコンテンツ処理に関連する脆弱性であるため、信頼できないWebコンテンツへのアクセスを避けることが一般的な緩和策となり得ますが、これは現実的ではない場合が多いです。
他に解説すべき観点
参照したサイト