Trusted Design

CVE-2022-22620 の詳細

CVEの情報

説明:
A use after free issue was addressed with improved memory management. This issue is fixed in macOS Monterey 12.2.1, iOS 15.3.1 and iPadOS 15.3.1, Safari 15.3 (v. 16612.4.9.1.8 and 15612.4.9.1.8). Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited..

CVE更新日: 2022-03-18 18:15:13.787000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2022-02-11

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.163420000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2022-22620について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2022-22620は、AppleのWebKitにおけるUse-After-Free（解放済みメモリ使用）の脆弱性です。攻撃者は特別に細工されたWebコンテンツを作成し、ユーザーが悪意のあるWebサイトにアクセスすることで、任意コード実行が可能になる可能性があります。この脆弱性は、すでに積極的に悪用されていることが確認されています（ゼロデイ脆弱性）。

1.1 影響

この脆弱性が悪用されると、デバイスのクラッシュ、予期しない値の使用、または任意のコード実行につながる可能性があります。具体的には、攻撃者が細工されたWebコンテンツを処理させることで、ターゲットシステム上で任意の悪性コードをリモートで実行できる可能性があります。これにより、個人情報の不正アクセス、マルウェアのインストール、デバイスの制御など、さまざまなリスクが発生する可能性があります。

1.2 深刻度

  • CVSS v3.1スコア: 8.8 (High)
    • 攻撃元区分: ネットワーク
    • 攻撃条件の複雑さ: 低
    • 攻撃に必要な特権レベル: 不要
    • 利用者の関与: 要 (ユーザーが細工されたWebページにアクセスする必要がある)
    • 機密性への影響: 高
    • 完全性への影響: 高
    • 可用性への影響: 高
  • CWE ID: CWE-416 (Use After Free)
  • CISAの既知の悪用されている脆弱性（KEV）カタログに掲載されており、現実世界での悪用活動が確認されているため、直ちに対策を講じるべき脆弱性です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Appleの以下の製品およびOSバージョンに影響を与えます:

  • Safari 15.3未満 (Safari 15.3 (v. 16612.4.9.1.8 および 15612.4.9.1.8) で修正)
  • iOS 15.3.1未満 (iPhone 6s以降、iPod touch (第7世代) など)
  • iPadOS 15.3.1未満 (iPad Pro全モデル、iPad Air 2以降、iPad (第5世代) 以降、iPad mini 4以降など)
  • macOS Monterey 12.2.1未満 (macOS Montereyを実行しているすべてのシステム)
  • macOS Big Sur および macOS Catalina (Safari 15.3未満を使用している場合)

WebKitはmacOS、iOS、Linux向けの多数のアプリケーションで使用されており、特にiOSおよびiPadOS向けのすべてのブラウザはWebKitエンジンをベースにしているため、Safari以外のブラウザ（Google ChromeやMozilla Firefoxなど）も影響を受ける可能性があります。

2.2 影響を受ける設定

この脆弱性に関する特定の「影響を受ける設定」についての明確な情報は見つかりませんでした。一般的に、WebKitを使用するWebブラウザやアプリケーションが影響を受けるため、Webコンテンツを処理するデフォルトの設定が影響の対象となると考えられます.

3. 影響を受けた時の兆候

この脆弱性は、悪意のあるWebコンテンツを処理することによって任意コードが実行される可能性があるため、特定の明確な兆候がユーザーに現れるとは限りません。しかし、一般的な兆候としては以下のようなものが考えられます。

  • デバイスの予期せぬクラッシュやフリーズ
  • Webブラウザやアプリケーションの異常な動作
  • 見覚えのないアプリケーションのインストール
  • 個人情報の流出やアカウントの乗っ取り
  • デバイスのパフォーマンス低下

Appleは、この問題がすでに積極的に悪用された可能性があることを認識していると報告しています。

4. 推奨対策

4.1 本対策

Appleは、メモリ管理を改善することでこの脆弱性に対処するセキュリティアップデートをリリースしています。速やかなアップデートの適用が強く推奨されます。

  • iOS/iPadOS: iOS 15.3.1およびiPadOS 15.3.1以降にアップデート
  • macOS Monterey: macOS Monterey 12.2.1以降にアップデート
  • Safari: Safari 15.3以降にアップデート (macOS Big Sur/macOS Catalinaを使用している場合も含む)

アップデートは、通常、自動更新機能を通じて無償で提供されます。「設定」アプリの「一般」-「ソフトウェア・アップデート」から手動で確認・インストールすることも可能です。

4.2 暫定回避策（緩和策）

この脆弱性に対する明確な暫定回避策の記述は、公式情報からは見つかりませんでした。しかし、脆弱性の性質上、以下のような一般的な緩和策が考えられます。

  • 信頼できないWebサイトへのアクセスを避ける: 攻撃は悪意のあるWebコンテンツを介して行われるため、不審なリンクやWebサイトへのアクセスを控えることが重要です。
  • WebブラウザのJavaScriptを一時的に無効にする: 脆弱性の悪用メカニズムによっては、JavaScriptを無効にすることで影響を軽減できる可能性がありますが、多くのWebサイトの機能が制限されるため、実用的な回避策とは言えません。
  • 脆弱性スキャンツールや資産管理ツールを活用する: InvGate Asset Managementのようなツールを使用して、CVE-2022-22620の影響を受けるデバイスを迅速に特定し、パッチ適用が遅れる場合に備えて暫定的な緩和策を実装することが推奨されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る