Trusted Design

CVE-2022-42856 の詳細

CVEの情報

説明:
A type confusion issue was addressed with improved state handling. This issue is fixed in Safari 16.2, tvOS 16.2, macOS Ventura 13.1, iOS 15.7.2 and iPadOS 15.7.2, iOS 16.1.2. Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited against versions of iOS released before iOS 15.1..

CVE更新日: 2022-12-15 19:15:25.123000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2022-12-14

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.085230000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2022-42856について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2022-42856は、WebKitにおけるタイプコンフュージョン（型の取り違え）の脆弱性です。細工されたウェブコンテンツを処理することで、任意のコード実行につながる可能性があります。

1.1 影響

この脆弱性が悪用されると、悪意を持って作成されたウェブコンテンツを処理する際に、任意のコードが実行される可能性があります。これにより、攻撃者はWebKitのコンテキスト内でコード実行を制御できる可能性があります。アプリがカーネル権限で任意のコードを実行できる可能性もあります。ただし、完全なリモートデバイス制御を達成するためには、WebKitの悪用後に他のOSの脆弱性が必要となる場合があると考えられています。

1.2 深刻度

  • CVSSスコア: 8.8
  • 深刻度: 重要 (Important) または 高 (High)
  • CISA KEVカタログ: この脆弱性は、米国サイバーセキュリティ・インフラセキュリティ庁 (CISA) のKnown Exploited Vulnerabilities (KEV) カタログに記載されており、積極的に悪用されていることが確認されています。
  • EVULNABLEリスク: EVULNABLEによるリスクスコアは75/100で、優先度は「緊急 (Urgent)」とされています。

2. 対象となる環境

主にWebKitを搭載したApple製品、およびwebkitgtkが影響を受けます。

2.1 影響を受けるOSバージョン

以下のバージョンより前のApple製OSおよびソフトウェアが影響を受けます:

  • Safari 16.2より前のバージョン
  • tvOS 16.2より前のバージョン
  • macOS Ventura 13.1より前のバージョン
  • iOS 15.7.2およびiPadOS 15.7.2より前のバージョン
  • iOS 16.1.2より前のバージョン

特に、AppleはiOS 15.1より前のiOSバージョンに対して、本脆弱性が積極的に悪用されたとの報告を認識していると発表しています。

2.2 影響を受ける設定

不明。特定のウェブコンテンツを訪問するだけで脆弱性がトリガーされる可能性があります。

3. 影響を受けた時の兆候

不明。本脆弱性は任意のコード実行を可能にするため、システムが予期しない動作をしたり、アプリケーションがクラッシュしたりする可能性がありますが、具体的な兆候については公式情報では言及されていません。

4. 推奨対策

4.1 本対策

  • ソフトウェアのアップデート: 影響を受けるデバイスのソフトウェアを最新バージョンにアップグレードすることが強く推奨されます。
    • この問題は、以下のバージョンで修正されています:
      • Safari 16.2
      • tvOS 16.2
      • macOS Ventura 13.1
      • iOS 15.7.2 および iPadOS 15.7.2
      • iOS 16.1.2
    • Red Hatは、webkitgtkのアップデートを提供しています。

4.2 暫定回避策（緩和策）

不明。Red Hatは、現時点ではLinuxプラットフォームでの本脆弱性の悪用は認識していないと述べていますが、具体的な回避策については言及していません。一般的には、信頼できないウェブサイトへのアクセスを避けることが考えられます。

他に解説すべき観点

  • 積極的な悪用: Appleはこの脆弱性が「積極的に悪用された可能性がある」と警告しており、CISA KEVカタログにも掲載されているため、速やかな対応が非常に重要です。
  • CISAの対応期限: 米国の連邦政府機関は、CISAの指令に基づき、2023年1月4日までにこの脆弱性を修正または緩和する必要がありました。

参照したサイト

  • Red Hat Customer Portal - CVE-2022-42856
  • Jamf - WebKit vulnerability CVE-2022-42856 explained
  • eVulnAble - CVE-2022-42856 — Apple iOS Type Confusion Vulnerability
  • NIST - NVD-CVE-2022-42856
  • Security NEXT - 「iOS」の脆弱性に対する攻撃が発生 - macOSも含めてアップデートを
  • Fortinet - 2022 IoT脅威レビュー | FortiGuard Labs
  • Apple サポート (日本) - iOS 16.1 および iPadOS 16 のセキュリティコンテンツについて

NVDサイト

NVDでCVEの詳細を見る

戻る