Trusted DesignCVE-2023-32439 の詳細
CVEの情報
説明:
A type confusion issue was addressed with improved checks. This issue is fixed in iOS 16.5.1 and iPadOS 16.5.1, iOS 15.7.7 and iPadOS 15.7.7, macOS Ventura 13.4.1, Safari 16.5.1. Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited.
CVE更新日: 2023-06-23 18:15:13.813000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2023-06-23
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.239680000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2023-32439について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2023-32439は、AppleのWebレンダリングエンジンであるWebKitに存在するタイプ混同の脆弱性です。この脆弱性は、悪意を持って作成されたウェブコンテンツを処理する際に、任意のコード実行につながる可能性があります。Appleはこの問題が積極的に悪用されたという報告を認識しています。
1.1 影響
この脆弱性を悪用されると、攻撃者がシステム上で任意のコードを実行する可能性があります。
1.2 深刻度
NVD (National Vulnerability Database) におけるCVSS v3.1の基本スコアは「8.8 (High)」であり、深刻度は「高」と評価されています。 また、米CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性（KEV）カタログに2023年6月23日に追加されており、実際に標的への攻撃で悪用されていることが確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
以下のApple製品および関連コンポーネントが影響を受けます。
net-libs/webkit-gtkパッケージのバージョン2.42.3未満2.2 影響を受ける設定
この脆弱性はWebKitコンポーネント自体のタイプ混同の問題に起因するため、特定の「設定」によって脆弱性の有効/無効を切り替えるものではありません。影響を受けるバージョンのソフトウェアを使用している限り、脆弱性の影響を受ける可能性があります。
3. 影響を受けた時の兆候
検索結果には、本脆弱性によって具体的にどのような兆候が現れるかについての明示的な情報はありませんでした。任意のコード実行の性質上、攻撃者の意図によって様々な挙動が考えられます（例：予期しないシステムの動作、マルウェアのインストール、データの漏洩など）。
4. 推奨対策
4.1 本対策
Apple社および関連ベンダーが提供する最新のソフトウェアバージョンへアップデートしてください。
net-libs/webkit-gtkをバージョン2.42.3以降にアップグレード4.2 暫定回避策（緩和策）
本脆弱性に対する具体的な暫定回避策は公開されていません。最も効果的な対策は、上記の「本対策」として挙げられている通り、速やかにベンダーが提供するセキュリティアップデートを適用することです。一般的には、信頼できないWebサイトへのアクセスや、不明なソースからのファイルのダウンロードを避けることが推奨されます。
参照したサイト