ネットを使う以上, 常に気をつけなければいけないのはウイルスを始めとするセキュリティホールです.
クラッカーは24時間365日狙っているわけで, デザインや使い勝手などでアップデートを避ける判断もそれは一つの選択ですが, 代償としてそれらに晒されていることを自覚しなければなりません.
64点もの脆弱性対処はかなり珍しいです, 余程の理由がない限りはこちらを理由にアップデートすることをおすすめします.
なお今回のリリースノートなどの内容はこちら.
今回はセキュリティノートの内容となります.
スポンサーリンク
ピンポイント
64点というトンデモな数なので, 見るのが面倒な方のために, 僕の主観ですがこれはヤバそうというものを6点整理しておきます(先頭の数字はセキュリティノートにある順番).
- 1.Accounts：ユーザーがロック画面からApple IDを表示できてしまう可能性
- 31.Pasteboard：iOSデバイスに物理的にアクセスできる人がペーストボードを読み取れる可能性
- 32.Phone：サードパーティ製アプリがユーザーの介入なしに電話をかけることができてしまう可能性
- 36.Safari：ローカルユーザーが, ユーザーがプライベートブラウジングで訪問したWebサイトを検出できてしまう可能性
- 52.WebKit：悪意を持って作成されたWebコンテンツを処理すると, メモリ消費量が高くなってしまう可能性
- 59.WebKit：悪意を持って作成されたWebコンテンツアクセスすると, ユーザー情報が侵害されてしまう可能性
こういった脆弱性が, 今回のiOSで解決してるわけですね.
逆に言えばアップデートしないとこれらのリスクに晒されたままということです.
すべてのセキュリティノートの内容は以下となります.
iOS10.3 セキュリティノート
About the security content of iOS 10.3Released March 27, 2017 Accounts Available for: iPhone 5 and later, iPad 4th generation and later, iPod touch 6th generation and later Impact: A user may be able to view an Apple ID from the lock screen Description: A prompt management issue was addressed by removing iCloud authentication prompts from the lock screen.
執筆時点では英語ですが, いづれ日本語のセキュリティノートもリリースされると思います.
1.Accounts
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | ユーザーがロック画面からApple IDを表示できてしまう可能性. |
| 説明 | ロック画面から行えるiCloud認証プロンプトを削除することで対応. |
2.Audio
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたオーディオファイルを処理すると, 任意のコードが実行されてしまう可能性. |
| 説明 | 入力検証を改善することぜ対処. |
3.Carbon
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたdfontファイルを処理すると, 任意のコードが実行されてしまう可能性. |
| 説明 | フォントファイルの処理時にバッファオーバーフローが発生してたようで, 境界チェックを改善することで対処. |
4.CoreGraphics
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成された画像を処理すると, サービス拒否につがなる可能性. |
| 説明 | 状態管理を改善することで対処. |
5.CoreGraphics
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, 任意のコードが実行されてしまう可能性. |
| 説明 | 入力検証の改善によって対処. |
6.CoreText
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたフォントファイルを処理すると, 任意のコードが実行されてしまう可能性. |
| 説明 | 入力検証の改善によって対処. |
7.CoreText
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたフォントを処理すると, プロセスメモリが公開されてしまう可能性. |
| 説明 | 範囲外の読み取りを, 入力検証の改善を施すことで対処. |
8.CoreText
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたテキストメッセージを処理すると, アプリケーションのサービス拒否につながる可能性. |
| 説明 | リソース枯渇の問題を, 入力検証の改善によって対処. |
9.DataAccess
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 誤った電子メールアドレスを使用してExchangeアカウントを構成すると, 予期しないサーバーが解決される可能性. |
| 説明 | Exchange電子メールアドレスの処理に入力検証の問題があったようです. 対処済み. |
10.FontParser
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたフォントファイルを処理すると, 任意のコードが実行されてしまう可能性. |
| 説明 | 入力検証の改善によって対処. |
11.FontParser
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたフォントファイルを解析すると, アプリケーションが予期せず終了したり, 任意のコードが実行されてしまう可能性. |
| 説明 | 入力検証の改善によって対処. |
12.FontParser
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたフォントファイルを処理すると, プロセスメモリが公開されてしまう可能性. |
| 説明 | 範囲外の読み取りを, 入力検証のによって対処. |
13.HomeKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | ホームコントロールが予期せずコントロールセンターに表示される. |
| 説明 | ホームコントロールの処理に状態の問題があったようで, 検証の改善によって対処. |
14.HTTPProtocol
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意のあるHTTP / 2サーバーが未定義の動作を引き起こす可能性. |
| 説明 | 1.17.0より前のnghttp2に複数の問題が存在していたようで, LibreSSLをver1.17.0にアップデートすることによって対処. |
nghttp2というのは, 特定のサーバーへの要求を必ず経由するように設置されたプロキシサーバーのことのようですね.
LibreSSLはSSL/TLS通信で使われるソフトウェアらしいです.
15.ImageIO
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成された画像を処理すると, 任意のコードが実行されてしまう可能性. |
| 説明 | 入力検証の改善によって対処. |
16.ImageIO
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたJPEG画像を表示すると, 任意のコードが実行されてしまう可能性. |
| 説明 | 入力検証の改善によって対処. |
17.ImageIO
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたファイルを処理すると, アプリケーションが予期せず終了した, 任意のコードが実行されてしまう可能性. |
| 説明 | 入力検証の改善によって対処. |
18.ImageIO
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成された画像を処理すると, アプリケーションが予期せず終了する可能性. |
| 説明 | 4.0.7より古いバージョンのLibTIFFでは, 範囲外の読み取りを起こす可能性があったようです. ImageIOのLibTIFFをver4.0.7にアップデートすることで対処. |
19.iTunes Store
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 特権を持つネットワーク上のクラッカーが, iTunesのネットワークトラフィックを改ざんする可能性. |
| 説明 | iTunesサンドボックスWebサービスへのリクエストが平文で送信されていたようで, HTTPSを有効にすることで対処. |
20.Karnel
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | アプリケーションがカーネル権限で任意のコードを実行できてしまう可能性. |
| 説明 | 入力検証の改善によって対処. |
21.Karnel
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | アプリケーションがカーネル権限で任意のコードを実行できてしまう可能性. |
| 説明 | 整数型のオーバーフローの可能性があったようで, 入力検証の改善によって対処. |
22.Karnel
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意のあるアプリケーションがroot権限で任意のコードを実行してしまう可能性. |
| 説明 | 件によって競合状態が発生していたようで, 入力検証の改善によって対処. |
23.Karnel
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | アプリケーションがカーネル権限で任意のコードを実行してしまう可能性. |
| 説明 | メモリ管理を改善することによって対処. |
24.Karnel
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意のあるアプリケーションがカーネル権限で任意のコードを実行してしまう可能性. |
| 説明 | メモリ管理を改善することによって対処. |
25.Karnel
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意のあるアプリケーションがカーネル権限で任意のコードを実行してしまう可能性. |
| 説明 | 境界チェックを改善することによってオフバイワイヤ問題を解決. |
26.Karnel
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意のあるアプリケーションがカーネル権限で任意のコードを実行してしまう可能性. |
| 説明 | ロック処理を改善することで競合状態を解決. |
27.Karnel
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | アプリケーションがカーネル権限で任意のコードを実行してしまう可能性. |
| 説明 | バッファオーバーフローの問題を, メモリ処理の改善によって対処. |
28.Keyboards
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | アプリケーションがカーネル権限で任意のコードを実行してしまう可能性. |
| 説明 | バッファオーバーフローの問題を, 境界チェックの改善によって対処. |
29.libarchive
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | ローカルにいるクラッカーが, 任意のディレクトリのファイルシステムのアクセス権限を変更できてしまう可能性. |
| 説明 | シンボリックの検証改善によって対処. |
30.libc++abi
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意のあるC++アプリケーションをテマングルすると, 任意のコードが実行されてしまう可能性. |
| 説明 | メモリ管理の改善によって対処. |
C++では, 各シンボル(関数, 変数など)がリンカで適切に分解できるよう, 名前を分解(マングル)するそうです.
デマングルとはマングルした処理を復元する処理のことです.
31.Pasteboard
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | iOSデバイスに物理的にアクセスできる人がペーストボードを読み取れる可能性. |
| 説明 | ハードウェアUIDとユーザーのパスコードで保護されたキーを使用してペーストボードを暗号化することで解決. |
32.Phone
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | サードパーティ製アプリがユーザーの介入なしに電話をかけることができてしまう可能性. |
| 説明 | iOS側に問題があったようで, プロンプトを表示せずに通話できてしまう状態だったそうです. ユーザーにコールの開始を確認するよう促すことにょって対処. |
33.Profiles
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | クラッカーが, DES暗号アルゴリズムの弱点を悪用できてしまう可能性. |
| 説明 | 3DES暗号アルゴリズムのサポートがSCEPクライアントに追加. DESは非推奨となりました. |
34.Quick Look
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | PDFドキュメントの電話リンクをタップすると, ユーザーに確認を求めずに電話がかかってしまう. |
| 説明 | 通話を開始する前にtel URLを確認する際に問題があったようです. 確認プロンプトを追加することで解決. |
35.Safari
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意のあるWebサイトにアクセスすると, アドレスバーのなりすましにつながる可能性. |
| 説明 | リンク先ページが読み込まれるまでテキスト入力を無効にすることで解決. |
36.Safari
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | ローカルユーザーが, ユーザーがプライベートブラウジングで訪問したWebサイトを検出できてしまう可能性. |
| 説明 | SQLiteの削除に問題があったようで, SQLiteクリーンアップを改良することで対処. |
37.Safari
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, 任意のWebサイトに認証シートが表示される可能性. |
| 説明 | HTTP認証の処理になりすましとなってしまう問題があったようで, HTTP認証シートを非モーダルにすることで対処. |
38.Safari
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | リンクをクリックして悪意のあるWebサイトにアクセスすると, ユーザーインターフェースのなりすましにつながる可能性. |
| 説明 | FaceTimeプロンプトの処理になりすましとなってしまう問題があったようで, 入力検証の改善によって対処. |
39.Safari Reader
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebページ上でSafari Reader機能を有効にすると, クロスサイトスクリプティングが発生する可能性. |
| 説明 | FaceTimeプロンプトの処理になりすましとなってしまう問題があったようで, 入力検証の改善によって対処. |
クロスサイトスクリプティング（XSS）とは - 脅威と対策 | トレンドマイクロクロスサイトスクリプティング（XSS）とは、ユーザのアクセス時に表示内容が生成される「動的Webページ」の脆弱性、もしくはその脆弱性を利用した攻撃方法のことです。
40.SafariViewController
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | ユーザーがSafariキャッシュをクリアしたときに, SafariとSafariViewControllerの間でキャッシュ状態が正しく同期されない可能性. |
| 説明 | SafariViewControllerからSafariのキャッシュ情報を消去する際に問題があったようで, キャッシュ状態の処理を改善改善することによって対処. |
41.Security
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | SecKeyRawVerify()関数で空の署名を検証すると予期せず成功してしまう可能性. |
| 説明 | 暗号化APIの呼び出しに際し, 検証に問題があったようです. パラメータのバリデーションを改善することで対処. |
バリデーションとは, 決められた要求事項が, 対象の使い方において適切であるかを確認することを意味します.
42.Security
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | ネットワーク上の特権を持つクラッカーが, SSL/TLSによって保護されているセッション内のデータを取得または変更できてしまう可能性. |
| 説明 | 特定の条件下で, Secure TransportがOTRパケットの信頼性を検証できなかったようです. この問題は紛失した検証手順を復元することで対処. |
43.Security
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | アプリケーションがルート権限で任意のコードを実行してしまう可能性. |
| 説明 | バッファオーバーフローのリスクを, 境界チェックの改善によって対処. |
44.Security
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたx509証明書を処理すると, 任意のコードが実行されてしまう可能性. |
| 説明 | 証明書の解析中にメモリ破損のリスクが存在していたようです. 入力検証の改善によって対処. |
x509証明書というのは, 公開鍵証明書の署名を検証し, 鍵が正当であるかを確認する規格の一つだそうです.
45.Siri
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | Siriが, デバイスがロックされているにも関わらずテキストメッセージの内容を明らかにしてしまう可能性. |
| 説明 | 状態管理を改善することで, 不十分なロック問題を解決. |
46.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたリンクをドラッグ&ドロップすると, ブックマークのスプーフィングや任意のコードの実行につながる可能性. |
| 説明 | ブックマークの作成・入力検証を改善することで対処. |
スプーフィングとは「なりすまし」のことです.
47.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意のあるWebサイトにアクセスすると, アドレスバーのなりすましにつながる可能性. |
| 説明 | 状態管理の改善によって, 矛盾したインターフェイスの問題に対処. |
48.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, データのクロスオリジンが抽出される可能性. |
| 説明 | 例外処理を改良することでプロトタイプアクセスの問題に対処. |
49.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, 任意のコードが実行されてしまう可能性. |
| 説明 | 入力検証の改善によって対処. |
50.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, 任意のコードが実行されてしまう可能性. |
| 説明 | メモリ処理の改善によって対処. |
51.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, 予期せず矯正されないコンテンツセキュリティポリシーが発生する可能性. |
| 説明 | アクセス制限を改善することで対処. |
52.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, メモリ消費量が高くなってしまう可能性. |
| 説明 | 管理されていないリソース消費の問題を, 正規表現処理の改良によって対処. |
53.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, プロセスメモリが公開されてしまう可能性. |
| 説明 | OpenGLシェーダの処理に情報公開の問題が存在していたようで, メモリ処理を改善することで対処. |
54.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, 任意のコードが実行されてしまう可能性. |
| 説明 | 入力検証を改善することで対処. |
55.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, データのクロスオリジンが抽出されてしまう可能性. |
| 説明 | ページ読み込みの処理に複数の検証問題が存在していたようで, ロジックを改善することで対処. |
56.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意のあるWebサイトがデータのクロスオリジンを抽出してしまう可能性. |
| 説明 | ページ読み込みの処理に複数の検証問題が存在していたようで, ロジックを改善することで対処. |
57.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, クロスサイトスクリプティングが発生する可能性. |
| 説明 | 論理問題を改善することで対処. |
58.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, 任意のコードが実行されてしまう可能性. |
| 説明 | 論理問題を改善することで対処. |
59.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツアクセスすると, ユーザー情報が侵害されてしまう可能性. |
| 説明 | メモリ処理の改善によって対処. |
60.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, 任意のコードが実行されてしまう可能性. |
| 説明 | メモリ管理を改善することで対処. |
61.WebKit
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, クロスサイトスクリプティングが発生してしまう可能性. |
| 説明 | フレーム処理のロジックを改善することで対処. |
62.WebKit JavaScript Bindings
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, データのクロスオリジンが抽出されてしまう可能性. |
| 説明 | ロジックを改善することで対処. |
63.WebKit Web Inspector
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | デバッガで一時停止中にウインドウを閉じると, アプリケーションが予期せず終了してしまう可能性. |
| 説明 | 入力検証を改善することで対処. |
64.WebKit Web Inspector
| 対応機種 | iphone 5, iPad 4th, iPod touch6以降 |
|---|---|
| 影響 | 悪意を持って作成されたWebコンテンツを処理すると, 任意のコードが実行されてしまう可能性. |
| 説明 | 入力検証を改善することで対処. |
以上となります.
