Apple、リモート脱獄を可能にする3件のゼロデイ脆弱性をiOS 9.3.5で修正

Appleは25日、iOS 9.3.5をリリースした。このバージョンで修正された3件のゼロデイ脆弱性は、連携させることでリモート脱獄が可能となるものだ(Appleサポートの記事、Lookout Blogの記事、The Citizen Labの記事、Ars Technicaの記事)。

脆弱性はカーネル関連2件とWebKit関連1件で、それぞれアプリケーションによるカーネルメモリー漏洩(CVE-2016-4655)、アプリケーションによるカーネル特権での任意コード実行(CVE-2016-4656)、Webサイトを訪問することによる任意コード実行(CVE-2016-4657)となっている。これらの脆弱性はイスラエルのNSOグループによる「Pegasus」スパイウェアで使われており、脆弱性を確認したCitizen LabとSophosでは3件の脆弱性をまとめて「Trident」と呼んでいる。

NSOグループは「合法的な傍受」を可能にするスパイウェア製品を政府機関専門に販売するサイバー戦争企業だという。Pegasusはターゲットを攻撃用のWebサイトに誘導してiOSデバイスにスパイウェアをインストールすることで、メッセージや通話、電子メール、アプリのデータなどへのアクセスを可能にする。

(続く...)脆弱性が発覚したのは、UAEの人権活動家で2015年にマーティン・エナルズ賞を受賞したAhmed Mansoor氏に対し、Pegasusによる攻撃が試みられたのが発端だ。UAEの拘置所で行われている拷問の証拠を見せるというリンクの張られた不審なテキストメッセージを受信したMansoor氏は、そのままメッセージをCitizen Labの研究者に送信。Citizen LabとLookoutの共同調査により、リンク先がNSOグループにつながる組織に属するものだと判明したとのこと。

iOSのリモート脱獄については、Zerodiumが昨年報奨金プログラムを実施し、1チームが賞金100万ドルを獲得している。ただし、リモート脱獄の脆弱性が実際の攻撃で使われていることが確認されたのはTridentが初めてのようだ。

Appleは招待者のみを対象にしたバグ発見の報奨金プログラムを秋から実施することを発表しているが、Appleの賞金20万ドルに対し、ブラックハット企業のExodusは賞金50万ドルを提示している。そのため、豊富な資金を持つAppleが脆弱性の発見に力を入れず、ヘルストラッカープラットフォームの買収やApple Musicでのアルバム限定配信にばかり金を使っているとの批判もみられる。　スラドのコメントを読む | アップルセクション | セキュリティ | バグ | iOS | プライバシ

　関連ストーリー：
AppleのOSにStagefrightのような脆弱性 2016年07月24日
ロックされた状態のiPhone 6s/6s Plusで連絡先や写真にアクセス可能な脆弱性 2016年04月07日
iMessageに添付ファイルの暗号化が解読される脆弱性 2016年03月26日
FairPlayの欠陥を利用して非脱獄iOSデバイスにも感染するマルウェア「AceDeceiver」 2016年03月20日
ZERODIUMが各種ゼロデイエクスプロイトの買い取り価格を公表 2015年11月23日
iOS 9のリモート脱獄報奨金プログラム、1チームが100万ドルを獲得 2015年11月06日
iOS 9に対応したjailbreakツールが公開される 2015年10月19日
iOS 9の脱獄に合計300万ドルの賞金を出すという企業が登場 2015年09月25日
iOSデバイス上の正規アプリを不正アプリに置き換える攻撃手法の詳細が明らかに 2014年11月13日
OS XからUSB経由でiOSデバイスを攻撃するマルウェアが発見される 2014年11月08日
iOSには隠されたバックドアが存在する？ 2014年07月23日