Trusted Design

CVE-2023-32435 の詳細

CVEの情報

説明:
A memory corruption issue was addressed with improved state management. This issue is fixed in macOS Ventura 13.3, Safari 16.4, iOS 16.4 and iPadOS 16.4, iOS 15.7.7 and iPadOS 15.7.7. Processing web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited against versions of iOS released before iOS 15.7.

CVE更新日: 2023-06-23 18:15:13.767000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2023-06-23

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.229510000

EPSS更新日: 2026-10-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-32435は、Apple製品のWebKitコンポーネントにおけるメモリ破損の脆弱性です。この脆弱性は、悪意を持って作成されたWebコンテンツを処理することで、任意のコードが実行される可能性があるというゼロデイ脆弱性として、活発な悪用が確認されています。

1. 脆弱性の概要

CVE-2023-32435は、AppleのWebKitにおけるメモリ破損の脆弱性です。ステート管理の改善によってこの問題が対処されました。

1.1 影響

細工されたWebコンテンツを処理することで、任意のコードが実行される可能性があります。

1.2 深刻度

  • CVSSスコア: 8.8 (High)
  • CISA KEV (Known Exploited Vulnerabilities) カタログへのリスト: 本脆弱性はCISAの既知の悪用されている脆弱性カタログにリストされており、活発な悪用が確認されています。
  • EPSS (Exploit Prediction Scoring System): 22.95%（すべてのCVEの98%よりも悪用される可能性が高いと評価されています）。

2. 対象となる環境

Appleの複数の製品のWebKitコンポーネントが影響を受けます。具体的には、iOS、iPadOS、macOS、およびSafariブラウザが対象です。

2.1 影響を受けるOSバージョン

以下のバージョンより前のApple製品が影響を受けます。 * macOS Ventura 13.3 より前 * Safari 16.4 より前 * iOS 16.4 および iPadOS 16.4 より前 * iOS 15.7.7 および iPadOS 15.7.7 より前

Appleは、iOS 15.7より前にリリースされたバージョンのiOSに対して、この問題が活発に悪用された可能性があることを認識しています。

2.2 影響を受ける設定

この脆弱性を悪用可能にする特定の「設定」については、明確な記載はありません。悪意を持って作成されたWebコンテンツを処理する際に脆弱なWebKitコンポーネントが存在することで脆弱性がトリガーされます。

3. 影響を受けた時の兆候

CVE-2023-32435は、「Triangulation」スパイウェアを拡散するキャンペーンに利用されました。

  • スパイウェアの挙動: 「TriangleDB」と呼ばれるスパイウェアのインプラントはメモリ上に展開されるため、デバイスの再起動時にはすべての痕跡が失われます。攻撃者は、デバイスを再感染させるために、悪意のあるiMessageを送信する必要があります。
  • インプラントの機能: ファイルシステムとの相互作用（ファイルの作成、変更、持ち出し、削除）、プロセスとの相互作用（プロセスのリスト表示と終了）、キーチェーンへのアクセス、ユーザーの位置情報の監視、その他の実行可能ファイルの実行などのコマンドが含まれます。

この脆弱性が悪用された際の直接的なシステムレベルの「兆候」（例：特定のエラーメッセージ、異常なシステム動作）に関する具体的な情報は、現在のところ不明です。

4. 推奨対策

4.1 本対策

Appleがリリースしたセキュリティアップデートを適用することが強く推奨されます。 修正済みのバージョンは以下の通りです。 * Safari 16.4 * iOS 16.4 および iPadOS 16.4 * macOS Ventura 13.3 * iOS 15.7.7 および iPadOS 15.7.7

4.2 暫定回避策（緩和策）

本脆弱性に対する具体的な暫定回避策や緩和策は、情報として明確に記載されていません。

参照したサイト

  • New Apple Zero-Days: Patch CVE 2023-32434 and CVE 2023-32435 - InvGate's Blog
  • Apple Multiple Products WebKit Memory Corruption Vulnerability - TangerangKota CSIRT
  • CVE-2023-32435 — Apple Multiple Products WebKit Memory Corruption Vulnerability - eVulnAble
  • Apple製品に3件のゼロデイ脆弱性 ～「iOS」「iPadOS」「macOS」などにセキュリティ更新 - 窓の杜
  • CVE-2023-32435 — Patch first | CVE Explorer | Peter Bassill
  • macOS Ventura 13.3のセキュリティコンテンツについて - Apple サポート (日本)
  • NVD-CVE-2023-32435 - NIST
  • CVE-2023-32435 – Details CVSS, EPSS & CISA KEV | CVE Find
  • Apple rushes out patches for exploited zero day bugs - iTnews
  • Apple製品のアップデートについて（2023年6月） - JPCERT
  • セキュリティホール memo - 2023.06
  • About the security content of iOS 15.7.7 and iPadOS 15.7.7 - Apple Support
  • 關於iOS 16.4 和iPadOS 16.4 的安全性內容- Apple 支援(台灣)
  • Important Notice: Security vulnerabilities of Apple products - UM E-bulletin board
  • Important Notice: Security vulnerabilities of Apple products (updated at 3rd July 2023) - ICTO
  • 4 このリリースで修正されたCVEのリスト - Oracle Help Center
  • 日本の組織を標的にした外部からアクセス可能なIT資産を狙う複数の標的型サイバー攻撃活動に関する注意喚起 - JPCERT コーディネーションセンター
  • macOS Ventura 13.4.1 のセキュリティコンテンツについて - Apple サポート (日本)
  • 蘋果產品多個漏洞 - HKCert
  • macOSにアップデート - 悪用が確認された脆弱性を修正 - Security NEXT
  • 關於iOS 16.4 和iPadOS 16.4 的保安內容- Apple 支援(香港)

NVDサイト

NVDでCVEの詳細を見る

戻る