Trusted DesignCVE-2019-6223 の詳細
CVEの情報
説明:
A logic issue existed in the handling of Group FaceTime calls. The issue was addressed with improved state management. This issue is fixed in iOS 12.1.4, macOS Mojave 10.14.3 Supplemental Update. The initiator of a Group FaceTime call may be able to cause the recipient to answer.
CVE更新日: 2019-03-05 16:29:02.060000
CVSSバージョン: 3.1
CVSSスコア: 7.5
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.026290000
EPSS更新日: 2026-10-20 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2019-6223に関する調査結果を以下にまとめます。
1. 脆弱性の概要
CVE-2019-6223は、AppleのGroup FaceTime機能に存在する論理的欠陥です。この脆弱性により、Group FaceTime通話の開始者が、受信者のデバイスがユーザーの操作なしに応答してしまう可能性があります。この問題は、Group FaceTime通話の処理における状態管理の不備に起因していました。
1.1 影響
この脆弱性が悪用されると、重大なプライバシー侵害につながる可能性があります。受信者が通話を受け入れるか拒否する前に、攻撃者は受信者のデバイスから音声（および一時的にビデオ）を盗聴することができました。 具体的には、機密性への影響は「高」と評価されています。
1.2 深刻度
CVE-2019-6223の深刻度は「高」と評価されており、CVSS v3.1スコアは7.5です。 この脆弱性は、CISAの既知の悪用されている脆弱性（KEV）カタログに追加されており、積極的に悪用されたことが確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性の影響を受けるのは、以下のOSバージョンです。 * iOSバージョン 12.1.4より前のもの * macOS Mojaveバージョン 10.14.3 Supplemental Updateより前のもの
2.2 影響を受ける設定
この脆弱性は、Group FaceTime機能が有効になっているAppleデバイスに影響を与えます。
3. 影響を受けた時の兆候
影響を受けたデバイスでは、ユーザーがGroup FaceTime通話を受け入れていないにもかかわらず、受信者のマイク（そして短時間カメラ）が音声を送信し始めるという兆候が見られました。つまり、ユーザーの知らないうちにデバイスが通話に応答し、音声や映像が送信されてしまいます。
4. 推奨対策
4.1 本対策
この脆弱性に対する本対策は、Appleが提供する関連パッチを適用することです。 * iOSデバイスの場合: iOS 12.1.4以降にアップデートする。 * macOSデバイスの場合: macOS Mojave 10.14.3 Supplemental Update以降を適用する。
これらのアップデートは、Group FaceTime通話の処理における状態管理を改善することで、問題に対処しています。
4.2 暫定回避策（緩和策）
直ちにパッチを適用できない場合の暫定回避策として、以下の方法が挙げられます。 * パッチが適用されていないデバイスでFaceTimeを無効にする。iOSでは「設定」>「FaceTime」から、またはMDM（モバイルデバイス管理）の制限を通じて無効にできます。これにより、攻撃経路が排除されます。 * Appleは、クライアント側のパッチが利用可能になる前に、サーバーレベルでGroup FaceTimeを一時的に無効にする措置も講じました。 * 組織は、Group FaceTime機能への不正アクセスを制限するために、ネットワーク制御を実装することも検討すべきです。
他に解説すべき観点
参照したサイト