Trusted Design

CVE-2023-41993 の詳細

CVEの情報

説明:
The issue was addressed with improved checks. This issue is fixed in macOS Sonoma 14. Processing web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited against versions of iOS before iOS 16.7.

CVE更新日: 2023-09-21 19:15:11.660000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2023-09-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.243490000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-41993に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2023-41993は、AppleのWebブラウザエンジンであるWebKitに存在する脆弱性です。悪意を持って作成されたWebコンテンツを処理する際に、任意のコード実行につながる可能性があります。Appleは、この問題がiOS 16.7より前のバージョンのiOSに対して活発に悪用された可能性があるという報告を認識しています。この脆弱性は、商用スパイウェア活動を目的としたエクスプロイトチェーンの一部として、CVE-2023-41992やCVE-2023-41991と共に開示されました。

1.1 影響

この脆弱性が悪用されると、攻撃者はWebkitのレンダリングプロセス内で任意のコードを実行できるようになります。ユーザーが悪意のあるWebページを訪問するだけで攻撃がトリガーされる可能性があり、攻撃者がターゲットシステムを乗っ取る可能性を秘めています。

1.2 深刻度

この脆弱性のCVSS v3.1スコアは、NVDで8.8 (高) と評価されています。 Red Hatは9.8 (緊急) と評価しており、Amazon LinuxとSUSEは重要 (Important) と評価しています。 深刻度のベクトルは、CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性の影響を受ける主なApple製品およびバージョンは以下の通りです。 * iOS: 16.7より前のバージョン * iPadOS: 16.7より前のバージョン * macOS Ventura: 13.6より前のバージョン * Safari: 特定のバージョンについては、Safari 16.6.1より前のバージョンが影響を受けます。

また、WebKitGTK+、Oracle Java製品 (Oracle Java SE 22, 21.0.2, 17.0.10, 11.0.22, 8 Update 401-perf, 8 Update 401など)、Fedora、Debian、NetApp製品など、WebKitエンジンを利用している、またはこのCVEに関連する修正が含まれる、その他のソフトウェアコンポーネントも影響を受ける可能性があります。

2.2 影響を受ける設定

この脆弱性は、WebkitのWebコンテンツ処理におけるチェックの不備に起因します。 具体的な特定の設定に依存するものではなく、影響を受けるOSバージョンや製品でWebKitエンジンが動作している場合に影響を受けます。 Oracle Java SEでは、JRE (Java Runtime Environment) の脆弱性として、アプレットを利用するクライアント端末側の機能が影響を受ける可能性があります。

3. 影響を受けた時の兆候

この脆弱性は、悪意を持って作成されたWebコンテンツを処理することで任意のコード実行につながるため、直接的な「兆候」は攻撃者が実行するペイロードに依存します。一般的に、システムパフォーマンスの低下、予期しないアプリケーションのクラッシュ、不審なネットワークアクティビティ、または見慣れないプロセスの実行などが挙げられる可能性がありますが、これらは一般的な兆候であり、この特定のCVEに特有のものではありません。この脆弱性は、ゼロデイ攻撃として活発に悪用されていたことが確認されており、特にスパイウェアのエクスプロイトチェーンの一部として使用されたため、ユーザーが意図しない挙動に気付かない可能性もあります。

4. 推奨対策

4.1 本対策

  • Apple製品: 影響を受けるAppleデバイスを、以下の修正済みバージョンに速やかにアップデートしてください。
    • iOS 16.7以降 または iOS 17.0.1以降
    • iPadOS 16.7以降 または iPadOS 17.0.1以降
    • macOS Sonoma 14以降 または macOS Ventura 13.6以降
    • Safari 16.6.1以降 または Safari 17以降
  • Oracle Java: Oracle社から提供されている最新版のJava SEに更新してください。
  • WebKitGTK+: DebianやFedoraシステム、Gentoo展開においては、ベンダーのセキュリティアップデートを使用してWebKitGTK+パッケージをパッチ適用してください。

4.2 暫定回避策（緩和策）

この種のWebKitの脆弱性に対する一般的な暫定回避策は、パッチの適用以外に限定的です。最も効果的な対策は、ベンダーから提供されているセキュリティアップデートを可能な限り速やかに適用することです。

5. 他に解説すべき観点

  • ゼロデイ攻撃での悪用: この脆弱性は、修正プログラムが公開される前に既に活発に悪用されていた、いわゆるゼロデイ脆弱性として確認されています。
  • CISAの既知の悪用されている脆弱性カタログ (KEV): CVE-2023-41993は、CISA (Cybersecurity and Infrastructure Security Agency) のKnown Exploited Vulnerabilities Catalogに2023年9月25日に追加されており、2023年10月16日までに修正が求められる高優先度の脆弱性として認識されています。
  • 発見者: この脆弱性の発見は、トロント大学マンク校のThe Citizen LabのBill Marczak氏と、GoogleのThreat Analysis Group (TAG) のMaddie Stone氏にクレジットされています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る