Trusted Design

解説:

CVE-2025-43300は、AppleのiOS、iPadOS、およびmacOSに影響を与える、Image I/Oフレームワークにおける境界外書き込みの脆弱性です。この脆弱性は、すでに特定の標的型攻撃で悪用されていることが確認されています。

1. 脆弱性の概要

1.1 影響

この脆弱性は、AppleのImage I/Oフレームワーク内、特にRawCamera.bundleのJPEGロスレス解凍コードにおける境界外書き込み（Out-of-Bounds Write）の欠陥です。細工されたDNG（Digital Negative）画像ファイルを処理すると、メモリ破損が発生し、アプリケーションのクラッシュ、データ破損、最悪の場合はリモートで任意のコード実行（RCE）が可能になる可能性があります。

この脆弱性は「ゼロクリック」型であり、ユーザーの操作を必要としません。悪意のある画像ファイルをデバイスが受信または処理するだけで（例：iMessage、AirDrop、写真のインポートなど）、攻撃が実行される可能性があります。Appleは、この問題が特定の個人を標的とした非常に高度な攻撃で積極的に悪用されたことを認識しています。

1.2 深刻度

この脆弱性のCVSS v3スコアは8.8（Critical / 重要）と評価されており、深刻度は「高」または「クリティカル」とされています。これは、悪用されたゼロデイ脆弱性として扱われています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のバージョンのApple製品が影響を受けます。

• Apple iOS: 15.8.5未満、16.7.12未満、および18.6.2未満のバージョン
• Apple iPadOS: 15.8.5未満、16.7.12未満、17.7.10未満、および18.6.2未満のバージョン
• Apple macOS: macOS Sequoia 15.6.1未満、macOS Sonoma 14.7.8未満、およびmacOS Ventura 13.7.8未満のバージョン

具体的な影響を受けるデバイスには、iPhone XS以降、iPad Pro（13インチ、12.9インチ第3世代以降、11インチ第1世代以降）、iPad Air（第3世代以降）、iPad第7世代以降、iPad mini（第5世代以降）、および上記のmacOSバージョンを搭載したMacが含まれます。

2.2 影響を受ける設定

この脆弱性は、DNGファイルがiOSによって自動的に処理されるシナリオでトリガーされます。これには、iMessage、AirDrop、または写真のインポートなどを介した自動画像処理が含まれ、ユーザーの明示的な操作は必要ありません。

3. 影響を受けた時の兆候

この脆弱性はゼロクリックのリモートコード実行を可能にするため、検出が困難です。しかし、悪用された場合、メモリ破損によってアプリケーションのクラッシュや予期しないデバイスの動作が発生する可能性があります。特定の研究者によって、この脆弱性を検出するためのツール「ELEGANT BOUNCER」が開発され、GitHubで公開されています。

4. 推奨対策

4.1 本対策

Appleがリリースしたセキュリティアップデートを適用することが最も推奨される対策です。これらのアップデートには、画像処理中の境界外書き込み操作を防ぐための境界チェックの改善と適切なメタデータ検証が実装されています。

• iOS: iOS 15.8.5、16.7.12、または18.6.2以降にアップデート
• iPadOS: iPadOS 15.8.5、16.7.12、17.7.10、または18.6.2以降にアップデート
• macOS: macOS Sequoia 15.6.1、macOS Sonoma 14.7.8、またはmacOS Ventura 13.7.8以降にアップデート

米国CISAは、政府機関に対し、2025年9月11日までにすべての脆弱なデバイスにパッチを適用することを義務付けました。

4.2 暫定回避策（緩和策）

• 不明または信頼できないソースからの画像ファイルを開かないようにしてください。
• アプリケーション内でDNGファイルを処理する前に、ファイル検証を実行してください。
• 可能な限り、信頼できないソースからの自動画像レビューを無効にすることを検討してください。
• Appleの「ロックダウンモード」を有効にすることで、高度な標的型攻撃の影響を軽減できる場合があります。

5. 他に解説すべき観点

• ゼロデイ攻撃: この脆弱性は2025年8月21日にNVDに公開されましたが、Appleは修正リリース時にすでに特定の標的型攻撃で悪用されていたことを認めており、ゼロデイ脆弱性として扱われています。
• CWE-787 (Out-of-Bounds Write): これは、アプリケーションが割り当てられたメモリバッファの境界を越えてデータを書き込むときに発生するメモリ破損の脆弱性の分類です。
• 攻撃の単純さ: 研究者らは、2つの連携するコンポーネント間の基本的な仮定の不一致を悪用するものであり、その単純さがこの脆弱性の恐ろしさであると指摘しています。

参照したサイト

• CVE-2025-43300: Apple iPadOS Buffer Overflow Vulnerability - SentinelOne
• CVE-2025-43300 脆弱性：iOS・iPadOS・macOSのゼロデイが積極的に悪用中 | SOC Prime
• ゼロクリックRCEに繋がり得るiOSの脆弱性、詳細や検出ツールを研究者が公開：CVE-2025-43300 | Codebook｜Security News
• iPhoneやMacなどApple製品の脆弱性悪用に注意喚起 - 米当局 - Security NEXT
• Apple 0-Day 脆弱性 CVE-2025-43300 が FIX：ゼロクリック RCE の PoC も公開
• Apple、標的型攻撃で悪用された新たなゼロデイを修正（CVE-2025-43300） | Codebook
• CVE-2025-43300 - CVE Record
• NVD-CVE-2025-43300 - NIST
• CVE-2025-43300 Zero-Day: ImageIO Exploit Alert | Fidelis Security
• JVNDB-2025-012340 - JVN iPedia - 脆弱性対策情報データベース
• 「iOS」「iPadOS」「macOS」を標的にしたゼロデイ脆弱性 画像を用意するだけで悪用可能 - ITmedia
• Apple、iOS 18.6.2とiPadOS 18.6.2で深刻な脆弱性「CVE-2025-43300」を修正 - ＠IT
• 世界で多発するゼロデイ攻撃とは？Apple・Google・Ciscoを襲った脆弱性の実態と対策
• CVE-2025-43300 | Tenable®
• CVE-2025-43300 is a critical zero‑day in Apple's Image I/O framework | Threat Intel
• Apple Patches CVE-2025-43300 Zero-Day in iOS, iPadOS, and macOS Exploited in Targeted Attacks - The Hacker News
• セキュリティニュースアラート - ITmedia エンタープライズ
• Apple緊急修補CVE-2025-43300零時差漏洞已遭利用於「極度複雜」定向攻擊
• CVE-2025-43300 零日漏洞清理报告
• 最新OS「iOS/iPadOS 26」公開 - 旧OSではゼロデイ脆弱性を解消 - Security NEXT
• Reverse engineering of Apple's iOS 0-click CVE-2025-43300: 2 bytes that make size matter
• CVE-2025-43300: iOS/macOS DNG Image Processing Memory Corruption - GitHub
• High-Severity Zero-Day Vulnerability in Apple Products | Cyber Security Agency of Singapore
• Could Your iPhone or Mac Be at Risk from the Latest Apple Zero-Day? - Cloaked
• Cisco IOS XE ソフトウェアのセキュアブートバイパスの脆弱性