Trusted Design

CVE-2023-32409 の詳細

CVEの情報

説明:
The issue was addressed with improved bounds checks. This issue is fixed in watchOS 9.5, tvOS 16.5, macOS Ventura 13.4, iOS 15.7.8 and iPadOS 15.7.8, Safari 16.5, iOS 16.5 and iPadOS 16.5. A remote attacker may be able to break out of Web Content sandbox. Apple is aware of a report that this issue may have been actively exploited.

CVE更新日: 2023-06-23 18:15:13.183000

CVSSバージョン: 3.1

CVSSスコア: 8.6

KEVの情報

KEV更新日: 2023-05-22

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.165300000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2023-32409の解説

1. 脆弱性の概要

CVE-2023-32409は、Apple製品に搭載されているWebレンダリングエンジン「WebKit」に存在する、サンドボックスエスケープの脆弱性です。この脆弱性は、細工されたWebコンテンツを処理することで、Webコンテンツ用のサンドボックスを回避される可能性があるというものです。 この脆弱性は、Webコンテンツのサンドボックスを回避し、機密情報が漏洩する可能性があるとされています。 また、GoogleのThreat Analysis GroupとAmnesty InternationalのSecurity Labによって発見されました。

この脆弱性は、GoogleのThreat Analysis GroupとAmnesty InternationalのSecurity Labによって発見され、すでに悪用が確認されています。 米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、この脆弱性を「Known Exploited Vulnerabilities Catalog」（既知の悪用された脆弱性カタログ）に追加し、迅速なアップデートを促しています。

1.1 影響

攻撃者は、細工されたWebコンテンツをユーザーに閲覧させることで、Webコンテンツのサンドボックスを回避し、機密情報が漏洩する可能性があります。 SentinelOneによると、遠隔の攻撃者が細工されたWebコンテンツを被害者に提供することで、サンドボックスから脱出することが可能になると説明されています。

1.2 深刻度

CVE-2023-32409のCVSSスコアは8.6（High）と評価されています。 EVULNABLEはリスクスコアを75/100とし、緊急（Urgent）と評価しています。 Apple製品の複数の脆弱性の影響度は「High」に設定されています。 EPSS（Exploit Prediction Scoring System）スコアは0.26%であり、悪用される可能性は49パーセンタイルに位置しますが、実世界での悪用がすでに確認されています。

2. 対象となる環境

CVE-2023-32409は、WebKitを搭載した複数のApple製品に影響を与えます。

2.1 影響を受けるOSバージョン

以下のバージョンより前のApple製品が影響を受けます。

  • Safari 16.5より前のバージョン
  • iOS 16.5より前のバージョン、およびiOS 15.7.8より前のバージョン
  • iPadOS 16.5より前のバージョン、およびiPadOS 15.7.8より前のバージョン
  • macOS Ventura 13.4より前のバージョン
  • watchOS 9.5より前のバージョン
  • tvOS 16.5より前のバージョン

具体的には、以下のデバイスが対象に含まれます。

  • iPhone 6sおよびこれ以降のバージョン
  • iPhone SE 第1世代
  • iPad Pro すべてのモデル
  • iPad Air 第2世代およびこれ以降のバージョン
  • iPad 第5世代およびこれ以降のバージョン
  • iPad mini 第4世代およびこれ以降のバージョン
  • iPod touch 第7世代
  • Apple Watch Series 4およびこれ以降のバージョン
  • macOS Ventura
  • macOS Big Sur
  • macOS Monterey
  • Apple TV 4K すべてのモデル
  • Apple TV HD

2.2 影響を受ける設定

影響を受ける設定に関する具体的な情報は見つかりませんでした。この脆弱性は、WebKit自体に存在するものであり、特定の「設定」に依存するものではないと考えられます。

3. 影響を受けた時の兆候

この脆弱性は、細工されたWebコンテンツを処理することでサンドボックスを回避し、機密情報が漏洩する可能性があるため、直接的な「兆候」をユーザーが認識することは難しい可能性があります。一般的に、システムが不正な挙動を示したり、予期しないアプリケーションのクラッシュやデータの改ざん、あるいはネットワーク活動の異常などが発生する可能性がありますが、CVE-2023-32409に特化した具体的な兆候は現時点では明確にされていません。

4. 推奨対策

4.1 本対策

Appleは、この脆弱性に対応する修正をリリースしています。 ユーザーは、影響を受けるApple製品を速やかに以下のバージョン以降にアップデートすることが強く推奨されます。

  • Safari 16.5
  • iOS 16.5およびiPadOS 16.5
  • iOS 15.7.8およびiPadOS 15.7.8
  • macOS Ventura 13.4
  • watchOS 9.5
  • tvOS 16.5

CISAも、ベンダーの指示に従ってアップデートを適用するよう求めています。

4.2 暫定回避策（緩和策）

CVE-2023-32409に対する具体的な暫定回避策は公開されていません。しかし、一般的に以下の対策が有効であると考えられます。

  • 不審なWebサイトへのアクセスを避ける: 攻撃は、細工されたWebコンテンツを閲覧させることで行われるため、信頼できないWebサイトへのアクセスや、不審なリンクのクリックを避けることが重要です。
  • メールやメッセージ内のリンクに注意する: フィッシング詐欺やメッセージアプリを通じて悪意のあるリンクが配信される可能性があるため、注意が必要です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る