macOSの脆弱性がCZの注目を集める
Appleは、ハッカーによってアクティブに悪用されている2つのゼロデイ脆弱性に対処する重大なパッチを発行しました。
⚠️ 緊急警報！
Appleは、IntelベースのmacOSシステムをターゲットにしたアクティブなゼロデイ脆弱性を確認しました。あなたのデータが危険にさらされる可能性があります—今すぐ更新してください！ #zerodayflaws #AppleSecurity #macosupdate #cybersecurityalert #VPNRanks #TechNewsUpdate pic.twitter.com/nb75wLCPo4
— VPNRanks (@VPNRanks) 2024年11月20日
Appleの11月19日のアドバイザリによると、これらの欠陥は悪意のあるウェブコンテンツの処理に関連し、ユーザーに重大なリスクをもたらします。
アップデートの緊急性は、Binanceの共同創設者で元CEOのChangpeng Zhao（CZ）の注目を集め、ユーザーにシステムを直ちに更新してこれらの脆弱性への潜在的な露出を軽減するよう促しました。
Intelベースのチップを搭載したMacbookを使用している場合は、早急に更新してください！
安全でいてください！https://t.co/mk2Jsicnte
— CZ 🔶 BNB (@cz_binance) 2024年11月20日
彼は後にX（以前のTwitter）で、電話の更新が重要なセキュリティ修正であることを指摘しました。
iPhoneも更新してください。重要なセキュリティ修正です。https://t.co/rPKZzp41Ut https://t.co/29s0Wsj8cQ
— CZ 🔶 BNB (@cz_binance) 2024年11月21日
Appleは脆弱性を修正するために急いでおり、詳細はまだ不明です。
Appleは、実際に悪用されている2つの重大な脆弱性を特定し、修正しました。CVE-2024-44308およびCVE-2024-44309とラベル付けされています。
最初の欠陥はJavaScriptCoreに見つかり、ユーザーの同意なしに悪意のあるコードの実行を許可しました。
Appleは、改善された検証チェックを実施することでこの問題を解決しました。
2つ目の脆弱性は、WebKitブラウザエンジンに根ざしており、クロスサイトスクリプティング攻撃を可能にし、ハッカーがウェブサイトやアプリケーションに悪意のあるコードを注入できるようにしました。
Appleは、JavaScriptとWebKitの2つのゼロデイ脆弱性を修正しました。
設定 > 一般 > ソフトウェアアップデートでパッチがあるか確認してください。
一つはクロスサイトスクリプティング（「不正なコンテンツに信頼できるURLを与える」）です。もう一つはリモートコード実行（「マルウェアを隠れて実行する」）です pic.twitter.com/905S0aDtCG
— Paul Ducklin (@duckblog) 2024年11月19日
Appleは、その欠陥をクッキー管理の問題に起因するとし、強化された状態管理を通じて対処しました。
標準的な手続きとして、Appleは徹底的な調査が完了し、パッチが配布されるまで脆弱性の公表を控えました。
これらのゼロデイの脆弱性—開発者が対応するための時間がないことに由来する名前—は、サイバーセキュリティの継続的な課題を浮き彫りにしています。
詳細は限られており、攻撃者、影響を受けたユーザー、または攻撃の成功率に関する確認された情報はありません。
Appleは最近標的にされました。
Googleのセキュリティ研究者であるClément LecigneとBenoît Sevensが、Appleのシステムにおける脆弱性を発見したとして称賛されました。
このグループは政府の支援を受けたサイバー攻撃に対抗することで知られており、今回の最新の脆弱性の元凶が技術大手に対抗的な国家的な行為者である可能性があることを疑念を抱かせます。
今月初め、北朝鮮はAppleのユーザーを狙ったことが明らかになり、研究者たちはmacOSユーザーをターゲットにした新しいマルウェアキャンペーンを発見しました。
攻撃はフィッシングメール、偽のPDFアプリケーション、Appleのセキュリティ対策を回避するための高度な手法を使用しました。
特に、これはそのような手法がmacOSを侵害するために使用された最初の事例であり、最新のシステムには影響を与えることができませんでした。
関連する事件では、北朝鮮のハッカーが10月にGoogle Chromeの脆弱性を利用して暗号通貨ウォレットの認証情報を盗むことが発見されました。