-
AI57
-
alternative_app16
-
Articles1
-
Brave2
-
ChatGPT8
-
COVID-19と監視社会19
-
fediverse10
-
firefox4
-
GIFCT2
-
Linux15
-
OS関係5
-
SNSのセキュリティ17
-
VPN7
-
アクティビストとセキュリティ28
-
ウエッブのセキュリティ52
-
オリンピックと監視社会7
-
オンライン会議システム14
-
ジェンダー3
-
スパイウェア12
-
デジタルID(マイナンバーなど)12
-
デジタルセキュリティツール10
-
ビッグデータ、大量監視213
-
プライバシー129
-
メールのセキュリティ38
-
リンク集11
-
共謀罪1
-
労働現場の監視8
-
労働運動10
-
国内の監視社会化と反監視運動5
-
国家安全保障5
-
政府・国際機関の文書など40
-
教育・学校6
-
教育、EdTech1
-
文化10
-
暗号化63
-
検閲72
-
法執行機関116
-
海外動向311
-
監視カメラ15
-
金融監視3
Apple、ゼロディ「FORCEDENTRY」の緊急パッチを出荷
以下security weekの記事の翻訳です。
By ライアン・ナレイン on 2021年9月13日
Appleは9月13日(月)、iOSおよびmacOSのセキュリティ上の欠陥に対する修正プログラムを提供するとともに、これらの問題が「活発に悪用されている」ゼロデイのカテゴリーに属することを警告した。
例年通り、Appleは、発見された問題の1つについてCitizen Labの名前を挙げただけで、実際の攻撃の詳細については何も説明しなかった。これは、このパッチがバーレーンの政治活動家を標的としたゼロクリックマルウェア「FORCEDENTRY」をカバーしていることを示す重要な手がかりとなる。
このFORCEDENTRY攻撃は、Citizen Labによって記録されているが、その中には、Appleの「BlastDoor」サンドボックスを回避してiPhoneにPegasusスパイウェアを仕掛けるための、iMessage用のiOSゼロクリック・エクスプロイトが含まれている。
ここでは、アップル社の主要なモバイルプラットフォームであるiOSの2つの脆弱性について、アップル社がどのように文書化しているかを紹介する。
・CoreGraphics: CoreGraphics: (iPhone, iPad, iPod touchで利用可能) — 悪意を持って作成されたPDFを処理すると、任意のコードが実行される可能性がある。Appleは、この問題が積極的に悪用された可能性があるという報告を認識している。入力検証の改善により、整数オーバーフローに対応した。CVE-2021-30860 The Citizen Lab
・WebKit (iPhone, iPad, iPod touch で利用可能) — 悪意を持って作成された Web コンテンツを処理すると、任意のコードが実行される可能性がある。Apple は、この問題が積極的に悪用された可能性があるという報告を認識している。メモリ管理を改善することで、use after free 問題に対処した。CVE-2021-30858:匿名の研究者によるもの。
この問題は、macOS Big Sur 11.6およびmacOS Catalinaに対してパッチが提供されており、これらの重大な欠陥がmacOSプラットフォームにも及んでいることが確認されている。
[ READ: 新しいiOSゼロクリック・エクスプロイトがAppleの「BlastDoor」サンドボックスを破る。]
トロント大学と連携しているCitizen Labは、FORCEDENTRYエクスプロイトが、2020年6月から2021年2月にかけて、バーレーンの人権活動家9人のiPhoneにPegasusマルウェアを仕込むために使用されたと述べている。
Citizen Labは、感染したiPhoneのクラッシュログから、iOS 13.5.1デバイスを対象とした「KISMET」と、最新のiOS 14デバイスを対象とした「FORCEDENTRY」という、2つの別々のiMessageゼロクリックエクスプロイトの存在が確認されたと述べている。
Citizen Labは、「「FORCEDENTRY」デプロイ[セキュリティー上の弱点を突く手段]がiOSバージョン14.4および14.6に対してゼロデイとして展開されたことを確認した」と述べた。
この報告書は、被害者がコンテンツをクリックしたり、操作したりする必要のないこの種の攻撃からデバイスを保護するために、アップル社が苦心している様子を記録している。
2021年までに64件のゼロデイ攻撃が記録されている。 SecurityWeekが調査したデータによると、64件のゼロデイのうち15件は、AppleのiOSおよびmacOSオペレーティングシステムのセキュリティ問題を対象としている。
Related: Apple Adds ‘BlastDoor’ to Secure iPhones From Zero-Click Attacks
Related: Secretive Israeli Exploit Company Behind Wave of Zero-Day Exploits
Related: Apple Ships Emergency Fixes for Under-Attack iOS Zero-Day
Related: Apple Patches ‘Actively Exploited’ Mac, iOS Security Flaw
出典:https://www.securityweek.com/apple-ships-urgent-patch-forcedentry-zero-days