Trusted DesignCVE-2024-44308 の詳細
CVEの情報
説明:
The issue was addressed with improved checks. This issue is fixed in Safari 18.1.1, iOS 17.7.2 and iPadOS 17.7.2, macOS Sequoia 15.1.1, iOS 18.1.1 and iPadOS 18.1.1, visionOS 2.1.1. Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited on Intel-based Mac systems.
CVE更新日: 2024-11-20 00:15:17.080000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2024-11-21
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.101570000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2024-44308は、WebKitGTKのJITコンパイラおよびApple製品のJavaScriptCoreにおける脆弱性です。以下に詳細を解説します。
1. 脆弱性の概要
1.1 影響 悪意を持って細工されたWebコンテンツを処理することで、任意のコード実行につながる可能性があります。
1.2 深刻度 深刻度は「高」と評価されており、CVSS 3.1の基本スコアは8.8です。 この脆弱性は、すでに積極的に悪用されていることが確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン 以下のApple製品およびWebKitGTKが影響を受けます。 * Safari (バージョン 18.1.1 より前) * iOS (バージョン 17.7.2 および 18.1.1 より前) * iPadOS (バージョン 17.7.2 および 18.1.1 より前) * macOS Sequoia (バージョン 15.1.1 より前) * visionOS (バージョン 2.1.1 より前) * WebKitGTK (Red Hat Enterprise Linux 7など) * Debian (webkit2gtk, wpewebkit)
IntelベースのMacシステムで悪用されたという報告があります。
2.2 影響を受ける設定 * WebKitGTKのJITエンジンが有効になっている必要があります。 * 攻撃者は、ユーザーをだまして悪意のあるWebコンテンツを処理または読み込ませる必要があります。
3. 影響を受けた時の兆候
不明
4. 推奨対策
4.1 本対策 * Apple製品: * Safariをバージョン18.1.1にアップデートしてください。 * iOSおよびiPadOSをバージョン17.7.2または18.1.1にアップデートしてください。 * macOS Sequoiaをバージョン15.1.1にアップデートしてください。 * visionOSをバージョン2.1.1にアップデートしてください。 * Red Hat Enterprise Linux: * webkitgtk4-jsc-devel、webkitgtk4-jsc、webkitgtk4、webkitgtk4-devel、webkitgtk4-debuginfo の各パッケージをアップグレードしてください。 * Debian: * webkit2gtk、wpewebkit をアップグレードしてください。
4.2 暫定回避策（緩和策） * 信頼できないWebコンテンツをWebKitGTKで処理または読み込まないでください。 * Red Hat Enterprise Linux 7のWebKitGTKを使用している場合、JITエンジンを無効にするために
JavaScriptCoreUseJIT環境変数を0に設定することを検討してください。 * WebKitGTK3はどのパッケージにも必要とされないため、削除しても機能に影響はない可能性があります。 * フィッシング攻撃に注意し、不審なメール、メッセージ、リンクには警戒してください。強力でユニークなパスワードを使用し、Apple IDなどのオンラインアカウントで2要素認証（2FA）を有効にしてください。5. 他に解説すべき観点
この脆弱性は、CISA（米サイバーセキュリティ・インフラセキュリティ庁）の「Known Exploited Vulnerabilities Catalog (KEV)」に追加されており、積極的に悪用されている脆弱性として、連邦政府機関に対しては特定期日までの対策が義務付けられています。 CISAは、すべての組織に対して、脆弱性管理の一環としてKEVに登録された脆弱性のタイムリーな修正を優先することを強く推奨しています。
参照したサイト