Trusted Design

CVE-2022-48503 の詳細

CVEの情報

説明:
The issue was addressed with improved bounds checks. This issue is fixed in tvOS 15.6, watchOS 8.7, iOS 15.6 and iPadOS 15.6, macOS Monterey 12.5, Safari 15.6. Processing web content may lead to arbitrary code execution.

CVE更新日: 2023-08-14 23:15:10.490000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2025-10-20

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.032130000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2022-48503について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2022-48503は、Apple製品のJavaScriptCoreエンジン、およびWebKitGTKに存在する脆弱性です。この脆弱性は、悪意のあるWebコンテンツを処理する際に任意のコード実行につながる可能性があります。

1.1 影響

この脆弱性が悪用されると、カーネル権限で任意のコードが実行される可能性があります。これにより、データの整合性が失われたり、アクセス制御が影響を受けたり、ログに記録されない操作が行われたりする可能性があります。また、システム全体の侵害、データ窃盗、ランサムウェアの展開、またはさらなるマルウェア感染につながる可能性があります。

1.2 深刻度

この脆弱性は「High (高)」と評価されており、Red Hatは「Important (重要)」としてCVSSスコア8.8を付与しています。さらに、CISA (Cybersecurity and Infrastructure Security Agency) の既知の悪用されている脆弱性 (KEV) カタログに掲載されており、実世界での悪用が確認されていることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のApple製品およびバージョンが影響を受けます。

  • Apple iOS：バージョン15.6未満
  • Apple iPadOS：バージョン15.6未満
  • Apple macOS：バージョン12.5未満（特にmacOS Monterey 12.5未満、macOS Big Sur、macOS CatalinaにおけるSafari 15.6以前）
  • Apple Safari：バージョン15.6未満
  • Apple tvOS：バージョン15.6未満
  • Apple watchOS：バージョン8.7未満
  • WebKitGTK: Red HatはWebKitGTKに脆弱性があるとしていますが、WebKitGTK3はどのパッケージにも必要なく、WebKitGTK4はRed Hat Enterprise Linux 7で一部のGNOMEパッケージで使用されています。

2.2 影響を受ける設定

この脆弱性はJavaScriptCoreエンジン内に存在し、Webコンテンツを処理する際に悪用される可能性があります。したがって、影響を受けるOSバージョンでSafariやその他のWebレンダリングコンポーネントを介して脆弱なJavaScriptCoreを使用しているすべての設定が影響を受けます。

3. 影響を受けた時の兆候

兆候に関する具体的な記載は見つかりませんでした。一般的に、任意のコード実行が成功した場合、予期せぬシステム動作、異常なネットワーク活動、不正なアクセスやデータ改ざん、未知のソフトウェアのインストール、パフォーマンスの低下などが考えられます。

4. 推奨対策

4.1 本対策

以下のベンダーが提供するセキュリティアップデートを適用することが、主な対策となります。

  • Apple製品:
    • Apple iOS および iPadOS をバージョン15.6以降にアップデートする。
    • Apple macOS をバージョン12.5以降にアップデートする (macOS Monterey 12.5、Safari 15.6、tvOS 15.6、watchOS 8.7)。
    • Appleは、この問題に対して境界チェックの改善とメモリ処理の改善で対処しています。

4.2 暫定回避策（緩和策）

  • WebKitGTKの場合: 特定のGNOMEパッケージを削除することで緩和できる可能性がありますが、GNOMEの機能が損なわれる可能性がある点に注意が必要です。
  • サポート終了 (EOL) のシステムの場合: アップデートが不可能なEOLのシステムでは、それらのデバイスを廃止するか、Webアクセスをブロックするか、製品の使用を中止することが推奨されます。
  • 一般的な緩和策: パッチがすぐに利用できない場合、設定の変更、アクセス制限、機能の無効化、ネットワーク隔離、WAF (Web Application Firewall) やEDR (Endpoint Detection and Response) などの補完策を検討する必要があります。
  • ネットワーク防御者は、異常なJavaScriptの活動を監視し、コード実行の試みを標的としたエンドポイント検出ルールを適用すべきです。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る