アップルがiPhone、Macなど全端末でセキュリティアップデート、政府機関も利用するというNSOのゼロデイ脆弱性を修正

Apple（アップル）は、すべてのiPhone、iPad、Mac、Apple Watchに影響を及ぼす、新たに発見されたゼロデイ脆弱性のセキュリティアップデートを公開した。この脆弱性を発見したとされるCitizen Labは、ユーザーに対して直ちにデバイスをアップデートするよう呼びかけている。

テクノロジーの巨人Appleは、iPhoneおよびiPad向けのiOS 14.8、ならびにApple WatchおよびmacOSの新アップデートにより「積極的に悪用された可能性がある」とされる少なくとも1つの脆弱性が修正されるという。

Citizen Labは、ForcedEntryの脆弱性の新たな痕跡を発見したとしている。この脆弱性は、バーレーンの活動家の少なくとも1人が所有する「iPhone」をひそかにハッキングするために使用されていたゼロデイ脆弱性の利用に関する調査の一環として2021年8月に初めて明らかにされた。

関連記事：iPhoneのセキュリティ対策もすり抜けるスパイウェア「Pegasus」のNSOによる新たなゼロクリック攻撃

8月、Citizen Labは、ゼロデイ脆弱性（企業が修正プログラムを提供するまでの期間が0日であることから、このように名づけられた）は、AppleのiMessageの欠陥を利用しており、イスラエルの企業であるNSOグループが開発したスパイウェア「Pegasus」を活動家の携帯電話に送り込むために悪用されたと発表された。

Pegasusは、政府機関の顧客に対してターゲットの個人データ、写真、メッセージ、位置情報など、そのデバイスにほぼ完全にアクセスできるようにする。

この脆弱性は、当時最新のiPhoneソフトウェアであるiOS 14.4および5月にリリースされたiOS 14.6を悪用していたため、大きな問題となった。また、この脆弱性は、AppleがiOS 14に搭載した「BlastDoor」と呼ばれる、潜在的な悪意のあるコードをフィルタリングすることでサイレントアタックを防ぐはずの新しいiPhone防御機能を突破していた。Citizen Labでは、AppleのBlastDoor保護機能を回避できることから、この特別な脆弱性を「ForcedEntry」と呼んでいる。

Citizen Labによる最新の調査結果によると、サウジアラビアの活動家のiPhoneに、当時最新バージョンのiOSを実行していたForcedEntryエクスプロイトの証拠を発見した。研究者によると、このエクスプロイトは、Appleのデバイスがディスプレイに画像を表示する際の弱点を利用しているという。

Citizen Labによると、このForcedEntryエクスプロイトは、これまで最新のソフトウェアを実行していたすべてのAppleデバイスで動作するという。

Citizen Labは、米国時間9月7日に発見した内容をAppleに報告したとのこと。Appleは、この脆弱性（CVE-2021-30860）のためのアップデートを公開した。Citizen Labは、ForcedEntryの攻撃はNSO Groupが行ったものだと確信しており、これまでに公表したことのない証拠を挙げている。

Citizen Labの研究者であるJohn Scott-Railton（ジョン・スコット-レイルトン）氏は、TechCrunchに対し、iMessageのようなメッセージングアプリは、ますます国家によるハッキング活動の標的となっており、今回の発見は、メッセージングアプリのセキュリティを確保する上での課題を明確に示していると述べている。

Appleはコメントを控えている。NSOグループは、我々の具体的な質問への回答を拒否した。