Trusted Design

CVE-2023-42916 の詳細

CVEの情報

説明:
An out-of-bounds read was addressed with improved input validation. This issue is fixed in iOS 17.1.2 and iPadOS 17.1.2, macOS Sonoma 14.1.2, Safari 17.1.2. Processing web content may disclose sensitive information. Apple is aware of a report that this issue may have been exploited against versions of iOS before iOS 16.7.1.

CVE更新日: 2023-11-30 23:15:07.223000

CVSSバージョン: 3.1

CVSSスコア: 6.5

KEVの情報

KEV更新日: 2023-12-04

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.178230000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-42916は、Apple製品のWebKitに存在する境界外読み取りの脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

CVE-2023-42916は、Appleが開発したWebブラウザエンジンであるWebKitに存在する境界外読み取り（Out-of-bounds read）の脆弱性です。 WebKitは、AppleのSafariウェブブラウザおよびiOSやiPadOS上のすべてのWebブラウザで使用されています。 この脆弱性は、特別に細工されたWebコンテンツを処理することでトリガーされる可能性があります。

1.1 影響

この脆弱性が悪用されると、機微な情報が漏洩する可能性があります。 具体的には、Webコンテンツを処理する際にメモリの境界外読み取りが発生し、機密性の高いブラウザ情報が漏洩する恐れがあります。

1.2 深刻度

CVSS 3.1の基本スコアは6.5（MEDIUM）と評価されています。 また、この脆弱性はCISA（Cybersecurity and Infrastructure Security Agency）のKnown Exploited Vulnerabilities（KEV）カタログに登録されており、実際に悪用されたことが確認されています。 CISAは、KEVに登録された脆弱性について「緊急の変更として扱い、直ちにパッチを適用または隔離し、以前の侵害がないか調査すること」を推奨しています。

2. 対象となる環境

この脆弱性は、Apple製のオペレーティングシステムおよびブラウザのWebKitエンジンに影響を与えます。

2.1 影響を受けるOSバージョン

この脆弱性は、iOS 16.7.1より前のバージョンのiOSで悪用された可能性があることがAppleによって報告されています。 修正されたバージョンは以下の通りです。

  • iOS 17.1.2 および iPadOS 17.1.2
  • macOS Sonoma 14.1.2
  • Safari 17.1.2
  • iOS 16.7.3 および iPadOS 16.7.3 (iOS 16系向け)
  • tvOS 17.2 および watchOS 10.2
  • iOS 15.8.1 および iPadOS 15.8.1 (iOS 15系向け)

2.2 影響を受ける設定

WebKitはiOSやiPadOS上のすべてのWebブラウザで利用されているため、Safariだけでなく、これらのOSで動作するGoogle ChromeやMozilla Firefoxなどのサードパーティ製ブラウザも影響を受ける可能性があります。 脆弱性は、特別に細工されたWebコンテンツを処理することでトリガーされます。

3. 影響を受けた時の兆候

この脆弱性による直接的なユーザー体験上の兆候は、現在の情報では明確に記載されていません。機微な情報漏洩はバックグラウンドで行われることが多いため、ユーザーが異常に気づくことは難しい可能性があります。

4. 推奨対策

4.1 本対策

Appleが提供する最新のセキュリティアップデートを適用することが最も推奨される対策です。 影響を受けるデバイスを以下のバージョンにアップデートしてください。

  • iOS 17.1.2 以降
  • iPadOS 17.1.2 以降
  • macOS Sonoma 14.1.2 以降
  • Safari 17.1.2 以降
  • iOS 16.7.3 以降、iPadOS 16.7.3 以降 (iOS 16系向け)
  • tvOS 17.2 以降、watchOS 10.2 以降
  • iOS 15.8.1 および iPadOS 15.8.1 (iOS 15系向け)

CISAは、KEVカタログに登録された脆弱性に対しては、ベンダーの指示に従って速やかに修正または緩和策を適用するか、利用できない場合は製品の使用を中止することを推奨しています。

4.2 暫定回避策（緩和策）

この脆弱性に対する具体的な暫定回避策は、現在の情報では提供されていません。

5. 他に解説すべき観点

  • 発見者: この脆弱性は、GoogleのThreat Analysis Group (TAG) のClément Lecigne氏によって発見され、Appleに報告されました。
  • ゼロデイ脆弱性: CVE-2023-42916は、修正パッチがリリースされる前に実際に悪用された「ゼロデイ脆弱性」であったことが確認されています。
  • 関連脆弱性: この脆弱性は、WebKitのメモリ破損の脆弱性（CVE-2023-42917）と同時に報告・修正されました。CVE-2023-42917は任意コード実行の可能性がありました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る