Zero Click
Project Zero

iOS内に、持ち主が知らない内にハッカーが写真や電子メール、メッセージにリモートアクセスできる脆弱性があったことが報告されました。この脆弱性はすでに、2020年5月に配信されたiOS 13.5により対策されています。

この脆弱性を発見および報告しているのは、GoogleのProject Zero（ゼロデイ攻撃を専門とするセキュリティ研究チーム）の一員であるイアン・ビール氏です。同氏は2日、今年初めから本プロジェクトに取り組んでいたことをTwitter上で明らかにしています。

ビール氏によれば、この脆弱性はAWDL（Apple Wireless Direct Link）というアップルの独自プロトコルにて発見されたとのこと。要はiPhoneやMacなどアップル製品間でファイル等をピアツーピアでやり取りするAirDropや、iPadをMacのサブディスプレイにするSideCarに用いられているワイヤレス接続技術のことです。

Project Zeroチームが公開した報告書では、その詳細が徹底的に解説されています。Raspberry Pi 4 Model Bと2つのWi-Fiアダプタからなる攻撃プラットフォームを完成させて使ったところ、無線の届く範囲にあるiPhoneをハックできたと述べられています。

ビール氏いわく、AWDLはデフォルトで有効になっており、無線の近くにいる全ての人を大規模かつ複雑な攻撃に晒してしまうとのこと。（同氏が自作したような）特殊な機器を使うと、無線範囲は数100m以上になる可能性があると語っています。

アップルは上述のようにiOS 13.5で脆弱性を塞いでおり、米AppleInsiderによれば同社の広報担当者はユーザーの大半が更新済みのソフトウェアを使用していると述べたとのことです。またビール氏は、この技術が実際に悪用された証拠は見つかっていないとも付け加えています。

リモート攻撃の抜け穴になる可能性のあったAWDLは、iPhoneやiPad、Mac等に広く採用されている技術です。被害が発生する前に速やかにパッチが当てられたのは幸いでしたが、iOSやmacOSはなるべく最新の状態に保っておき（メジャーアップデート直後の初期バージョンは安定性が少し危うくはありますが）セキュリティを固めるよう心がけたいものです。

Source:Ian Beer(Twitter),Project Zero

Via:AppleInsider