Trusted Design

解説:

CVE-2023-41061 は、Apple の iOS、iPadOS、および watchOS に影響を与える深刻な脆弱性です。この脆弱性は、悪意を持って作成された添付ファイルによって任意のコード実行を可能にする検証の問題に関連しています。

---

1. 脆弱性の概要

CVE-2023-41061 は、Apple の Wallet フレームワークにおける入力検証の不備 (CWE-20) に起因する脆弱性です。攻撃者は、特別に細工された添付ファイルを処理させることで、影響を受けるデバイス上で任意のコードを実行する可能性があります。この脆弱性は、積極的に悪用されたことが確認されています。

1.1 影響

この脆弱性が悪用された場合、機密性、完全性、可用性に対して高い影響を与える可能性があり、最終的にはデバイスが完全に侵害される恐れがあります。この脆弱性は、CVE-2023-41064 と共に「BLASTPASS」と呼ばれるゼロクリックエクスプロイトチェーンの一部として悪用され、NSO Group の Pegasus スパイウェアなどの商用スパイウェアを展開するために使用されたと報告されています。

1.2 深刻度

CVE-2023-41061 の CVSS スコアは情報源によって異なり、7.8 (High) または 6.3 (Medium) と評価されています。CISA (米国サイバーセキュリティ・インフラセキュリティ庁) の「既知の悪用されている脆弱性カタログ (Known Exploited Vulnerabilities Catalog)」にも追加されており、活発な悪用が確認されているため、高い優先度で対処すべき脆弱性であるとされています。

2. 対象となる環境

2.1 影響を受ける OS バージョン

以下の Apple 製品およびバージョンが CVE-2023-41061 の影響を受けます。

• iOS 16.6.1 より前のバージョン
• iPadOS 16.6.1 より前のバージョン
• watchOS 9.6.2 より前のバージョン

影響を受けるデバイスには、iPhone 8 以降、すべての iPad Pro モデル、iPad Air 第3世代以降、iPad 第5世代以降、iPad mini 第5世代以降、および Apple Watch Series 4 以降が含まれます。 macOS Ventura は、Wallet の脆弱性 (CVE-2023-41061) の影響は受けませんが、同時に修正された別の脆弱性である CVE-2023-41064 の影響は受けていました。

2.2 影響を受ける設定

この脆弱性は Apple の Wallet フレームワーク内の検証ロジックの問題であり、特定のユーザー設定によって脆弱性が有効になったり無効になったりするものではありません。悪意を持って作成された添付ファイルが処理されることで悪用されます。

3. 影響を受けた時の兆候

この脆弱性は「ゼロクリック」またはユーザーの限定的な操作で悪用される可能性があるため、明らかな兆候をユーザーが直接認識することは困難です。しかし、以下のような間接的な兆候や、広範な影響が考えられます。

• デバイスのパフォーマンス低下、バッテリーの異常な消費、不審なネットワーク活動などの一般的なスパイウェア感染の兆候。
• 機密情報への不正アクセスやデータ改ざんの発生。
• デバイスが完全に侵害され、攻撃者による制御下に置かれる可能性。
• Apple Watch の不審な挙動 (Wallet の脆弱性が watchOS にも影響するため)。

4. 推奨対策

4.1 本対策

Apple はこの脆弱性に対処するため、改良されたロジックによって検証の問題を修正しています。以下の最新バージョンへ速やかにアップデートすることが強く推奨されます。

• iOS: 16.6.1 以降にアップデート
• iPadOS: 16.6.1 以降にアップデート
• watchOS: 9.6.2 以降にアップデート

4.2 暫定回避策（緩和策）

パッチを適用するまでの間、リスクを軽減するための暫定的な回避策として以下が挙げられます。

• 不明な送信元からの添付ファイルの取り扱いに注意する: 信頼できない送信元からの添付ファイルを開く際には細心の注意を払うこと。
• メールゲートウェイでの対策: Apple デバイス宛の添付ファイルを隔離またはスキャンするようメールゲートウェイを設定する。
• MDM プロファイルによる制限: リスクの高いユーザーに対して、MDM (モバイルデバイス管理) プロファイルを通じてファイル添付機能を一時的に制限することを検討する。
• ネットワークセグメンテーションの実施: デバイスが侵害された場合の被害を制限するために、ネットワークセグメンテーションを導入する。
• 「ロックダウンモード」の有効化: Apple の「ロックダウンモード」を有効にすることで、このエクスプロイトチェーン (BLASTPASS) をブロックできることが確認されています。

5. 参照したサイト

• CVE-2023-41061: Apple iPadOS RCE Vulnerability - SentinelOne
• Apple patches Blastpass exploit abused by spyware makers | Computer Weekly
• Multiple Security Vulnerability Notifications on Apple Products - NSFOCUS
• The Apple zero-click iMessage Exploit that spread spyware to iPhones - Cyber Security Nest
• iPhone, iPad, Mac, and Apple Watch Vulnerabilities - CVE-2023-41061, CVE-2023-41064
• Two Apple zero-days actively exploited via zero-click exploit chain - Quorum Cyber
• iOS 16.6.1 patches security vulnerabilities in Wallet and more - 9to5Mac
• CVE-2023-41061 – Details CVSS, EPSS & CISA KEV | CVE Find
• CVE-2023-41061 - Detalhe CVSS, EPSS & CISA Kev | CVE Find
• NVD-CVE-2023-41061 - National Vulnerability Database
• 「脆弱性TODAY」キュレーターによる2023年10月の振り返り - GRCS
• 2023 Apple & iOS Vulnerabilities from CISA - Bitsight
• watchOS 9.6.2 のセキュリティコンテンツについて - Apple サポート (日本)
• Apple recently dropped a hefty list of security patches addressing over 35 vulnerabilities. While most single-point releases usually come with a large number of fixes, there are a handful of notable ones here I want to bring attention to - Facebook
• CVE Program Container (CVE-2023-41061) | HOL Guard CVE
• 2023 Top Routinely Exploited Vulnerabilities - Internet Crime Complaint Center (IC3)
• Apple多个产品高危漏洞安全风险通告
• 「脆弱性TODAY」キュレーターによる2023年9月の振り返り - 株式会社GRCS
• 2023 Top Routinely Exploited Vulnerabilities
• Apple discloses 2 new zero-days exploited to attack iPhones, Macs - Bleeping Computer
• 日本の組織を標的にした外部からアクセス可能なIT資産を狙う複数の標的型サイバー攻撃活動に関する注意喚起 - JPCERT コーディネーションセンター
• JVNDB-2023-029234 - JVN iPedia - 脆弱性対策情報データベース
• Cisco IOS XE ソフトウェア Web UI 機能における複数の脆弱性
• 4 このリリースで修正されたCVEのリスト - Oracle Help Center
• パッチ適用の重要性：Nデイ脆弱性エクスプロイトの分析 | Fortinet Blog
• 2023年 の脆弱性情報 - LifeKeeper/DataKeeper User Portal
• Multiple Vulnerabilities in Cisco IOS XE Software Web UI Feature
• Windows 用 Cisco AnyConnect セキュア モビリティ クライアント ソフトウェアおよび Windows 用 Cisco Secure Client ソフトウェアの特権昇格の脆弱性 - Cisco
• 2023年最常被利用的漏洞-TWCERT/CC台灣電腦網路危機處理暨協調中心|企業資安通報協處