Trusted Design

CVE-2023-28205 の詳細

CVEの情報

説明:
A use after free issue was addressed with improved memory management. This issue is fixed in Safari 16.4.1, iOS 15.7.5 and iPadOS 15.7.5, iOS 16.4.1 and iPadOS 16.4.1, macOS Ventura 13.3.1. Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited.

CVE更新日: 2023-04-10 19:15:07.237000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2023-04-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.270760000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-28205について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2023-28205は、Apple社のWebKitにおけるUse-After-Free（解放済みメモリの使用）の脆弱性です。WebKitの不適切な入力検証が原因で、解放されたメモリ領域が再度使用されることにより発生します。具体的には、MapおよびDateオブジェクトの追加を遅延させることでガベージコレクターがそれらを早期に解放することを許し、解放済みオブジェクトへのアクセスとメモリ破損を引き起こす可能性があります。

1.1 影響

攻撃者は、特別に細工されたウェブコンテンツをユーザーに閲覧させることで、この脆弱性を悪用し、任意のコードを実行できる可能性があります。また、サービス拒否（DoS）を引き起こす可能性もあります。 この脆弱性は、しばしばCVE-2023-28206（IOSurfaceAcceleratorにおける権限昇格の脆弱性）と組み合わせて悪用され、カーネル権限での任意のコード実行につながる可能性があります。ユーザーが意図せず悪意のあるサイトに誘導される「ゼロクリック」感染の可能性も指摘されています。

1.2 深刻度

  • CVSS v3 基本評価: 8.8 (High)
  • Red Hatの評価: Important
  • TenableのVPR評価: 7.7 (High)
  • CISA KEV (Known Exploited Vulnerabilities) カタログ: 活発に悪用されている脆弱性としてリストされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のApple製品およびWebKitを使用する環境が影響を受けます。

  • Safari 16.4.1より前のバージョン
  • iOS 16.4.1より前のバージョン
  • iOS 15.7.5より前のバージョン
  • iPadOS 16.4.1より前のバージョン
  • iPadOS 15.7.5より前のバージョン
  • macOS Ventura 13.3.1より前のバージョン
  • macOS Monterey 12.6.5より前のバージョン
  • macOS Big Sur 11.7.6より前のバージョン
  • tvOS 16
  • Red Hat Enterprise Linux 7, 8, 9のWebKitGTK/WebKit2GTK3パッケージ

2.2 影響を受ける設定

WebKitはAppleのモバイルOSで唯一使用できるブラウザエンジンであるため、iOS上のすべてのブラウザ（Google ChromeやMozilla Firefoxなども含む）がWebページのレンダリングにWebKitを使用しており、広範囲に影響が及びます。特に設定を必要とせず、悪意のあるウェブコンテンツを処理するだけで脆弱性が悪用される可能性があります。

3. 影響を受けた時の兆候

検索結果には、CVE-2023-28205に特化した具体的な侵害の兆候（IoC）は明記されていません。ただし、Apple社は本脆弱性が実際に悪用されたとの報告を把握しています。Use-After-Free脆弱性は、システムクラッシュや予期せぬ動作を引き起こす可能性がありますが、攻撃者は通常、痕跡を残さずにコード実行を試みます。

4. 推奨対策

4.1 本対策

本脆弱性に対する永続的な対策は、ベンダーが提供するセキュリティアップデートを適用することです。

  • Safariを16.4.1以降にアップデートする。
  • iOSを16.4.1以降に、またはiOS 15.7.5以降にアップデートする。
  • iPadOSを16.4.1以降に、またはiPadOS 15.7.5以降にアップデートする。
  • macOS Venturaを13.3.1以降にアップデートする。
  • macOS Montereyを12.6.5以降にアップデートする。
  • macOS Big Surを11.7.6以降にアップデートする。
  • Red Hat Enterprise Linuxの場合、RHEL 8向けにはRHSA-2023:1919、RHEL 9向けにはRHSA-2023:1918を適用する。

本脆弱性は悪用が確認されているため、早期のアップデート適用が強く推奨されます。

4.2 暫定回避策（緩和策）

本脆弱性に特化した具体的な暫定回避策は、検索結果には記載されていません。最も効果的な対策は、利用可能なセキュリティアップデートを速やかに適用することです。

5. 他に解説すべき観点

  • CISA Known Exploited Vulnerabilities (KEV) カタログへの掲載: 本脆弱性は、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の既知の悪用された脆弱性カタログに掲載されており、連邦政府機関に対して2023年5月1日までの修正期限が設定されていました。これは、本脆弱性が活発に悪用されていること、およびその緊急性の高さを示しています。
  • 別の脆弱性との連鎖: CVE-2023-28205は、多くの場合、IOSurfaceAcceleratorにおける特権昇格の脆弱性であるCVE-2023-28206と組み合わせて悪用され、より深刻な侵害（カーネル権限での任意のコード実行）を可能にしていました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る