Trusted Design

CVE-2024-23222 の詳細

CVEの情報

説明:
A type confusion issue was addressed with improved checks. This issue is fixed in iOS 17.3 and iPadOS 17.3, macOS Sonoma 14.3, tvOS 17.3. Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been exploited.

CVE更新日: 2024-01-23 01:15:11.500000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2024-01-23

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.105930000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2024-23222に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2024-23222は、AppleのWebKitブラウザエンジンに存在する型の取り違え（Type Confusion）の脆弱性です。悪意を持って作成されたWebコンテンツを処理することで、任意のコードが実行される可能性があります。この脆弱性は「Coruna」と呼ばれるエクスプロイトの一部として、すでに悪用されていることが確認されています。

1.1 影響

  • 悪意のあるWebコンテンツを処理することにより、攻撃者がAppleデバイス上で任意のコードを実行する可能性があります。
  • CISAの既知の悪用されている脆弱性（KEV）カタログに掲載されており、実際に悪用が確認されています。
  • 機密情報の漏洩、情報の改ざん、およびサービス運用妨害（DoS）状態にされる可能性があります。

1.2 深刻度

  • CVSS v3の基本スコアは8.8（重要/高）と評価されています。
  • 共通脆弱性タイプ識別子（CWE）では、CWE-843: Access of Resource Using Incompatible Type ('Type Confusion') に分類されます。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、WebKitを使用する以下のApple製品およびOSバージョンに影響を及ぼします。

  • Safari: 17.3より前のバージョン
  • iOS および iPadOS:
    • 15.8.7より前のバージョン (iPhone 8, iPhone 8 Plus, iPhone X, iPad 第5世代, iPad Pro 9.7インチ, iPad Pro 12.9インチ 第1世代など)
    • 16.7.5より前のバージョン
    • 17.3より前のバージョン (iPhone XS以降, iPad Pro 12.9インチ 第2世代以降, iPad Pro 10.5インチ, iPad Pro 11インチ 第1世代以降, iPad Air 第3世代以降, iPad 第6世代以降, iPad mini 第5世代以降など)
  • macOS:
    • macOS Monterey 12.7.3より前のバージョン
    • macOS Ventura 13.6.4より前のバージョン
    • macOS Sonoma 14.3より前のバージョン
  • tvOS: 17.3より前のバージョン
  • visionOS: 1.0.2より前のバージョン

2.2 影響を受ける設定

  • この脆弱性は、SafariおよびiOS上のすべてのサードパーティ製ブラウザを動かすWebKitブラウザエンジン内の型の取り違えの問題です。
  • WebKitGTKのJITエンジンが有効になっている場合に、この脆弱性に依存する可能性があります。
  • 攻撃を成功させるには、ユーザーが悪意のあるWebコンテンツを処理または読み込むように誘導する必要があります。

3. 影響を受けた時の兆候

具体的なユーザーが識別できる兆候については、情報が見つかりませんでした。しかし、任意のコード実行が成功した場合、システムの予期せぬ動作、クラッシュ、または異常な活動が発生する可能性があります。

4. 推奨対策

4.1 本対策

Appleから提供されているセキュリティアップデートを速やかに適用してください。

  • Safari: 17.3 以降
  • iOS/iPadOS: 15.8.7, 16.7.5, 17.3 以降
  • macOS: Monterey 12.7.3, Ventura 13.6.4, Sonoma 14.3 以降
  • tvOS: 17.3 以降
  • visionOS: 1.0.2 以降

4.2 暫定回避策（緩和策）

  • 信頼できないWebコンテンツを処理したり、読み込んだりしないようにしてください。
  • 自動ソフトウェアアップデートを有効にすることを推奨します。
  • CISA KEV（既知の悪用されている脆弱性）やAppleのセキュリティアップデートのフィードを購読し、必要なパッチレベルを下回るデバイスに対してアラートをトリガーします。
  • WebKitのゼロデイキャンペーンに関する脅威インテリジェンスを追跡し、関連するインジケーターを境界およびエンドポイントのブロックリストに追加します。
  • Red Hat Enterprise Linux 8.8および9.2では、特定の修正（RHSA-2023:4202およびRHSA-2023:4201）によりWebKitGTK JITエンジンが無効化されているため、この脆弱性の影響を受けません。

他に解説すべき観点

  • CISA KEVカタログへの追加: 米国サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）は、この脆弱性を「既知の悪用されている脆弱性カタログ（KEV）」に追加しました。これは、この脆弱性が実際に悪用されていることを意味し、米国の連邦行政機関に対して特定の期限までにこの脆弱性への対応を義務付けています。
  • ゼロデイ攻撃: この脆弱性は、2024年にAppleが発表した最初のゼロデイ脆弱性であり、Appleが修正プログラムをリリースした時点で既に悪用の報告がありました。
  • 脆弱性の種類: WebKitのJavaScriptCore DFG JITコンパイラにおける型の取り違え（Type Confusion）であり、より詳細には時間チェックから使用までの競合状態（TOCTOU race condition）として説明されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る