にほんブログ村
夫 ちびver.今回の記事を読むと、
keri ちびver.iPhoneの脆弱性(ゼロデイ脆弱性)が理解できます！！
iPhoneのiOSアップデートで「脆弱性」という言葉を見かけたことはありませんか？
例えばこんな文章です。
iOS16.6.1でスパイウェアPegasusに悪用された脆弱性が修正
iPhoneなどのApple製品にゼロデイの脆弱性
今日はこの脆弱性について初心者にもわかりやすく説明していきます。
脆弱性とは？
まず初めに伝えなければならないのは、『脆弱性』というキーワードの意味です。
普段『脆弱性』なんて単語を使う機会なんてほとんどありませんよね。
『脆弱性』の意味さえ分かれば、もう一つのキーワードである『ゼロデイ脆弱性』もすぐ理解できます。
- 【POINT①】脆弱性とはシステムに存在する「セキュリティ上の弱点」のこと
- 【POINT②】各脆弱性にはCVE数字といったバン後怒賀割り振られて管理されている
脆弱性とはシステムに存在する「セキュリティ上の弱点」のこと
脆弱性とは、ソフトウェアやシステムに存在する「セキュリティ上の弱点」のことを指します。
プログラムの設計や実装に不備があると、攻撃者はその穴を悪用して不正にアクセスしたり、情報を盗んだり、システムを乗っ取ったりする可能性があります。
【POINT②】各脆弱性にはCVE数字といったバン後怒賀割り振られて管理されている
各脆弱性には「CVE-2025-43300」といった一意の番号が割り振られ、研究者・企業・ユーザーが同じ脆弱性を同じ名前で参照できるようになっています。
例えば Apple が iPhone 向けに修正したセキュリティ問題も CVE 番号で公開されており、誰でも以下の公式サイトから検索・確認することが可能です。
ゼロデイ脆弱性とは？
ゼロデイ脆弱性（Zero-Day Vulnerability）とは、開発者やセキュリティ機関にもまだ知られていない、公開されていない脆弱性のことを指します。
「ゼロデイ（0日）」という言葉は、「脆弱性が発見されてから修正パッチが提供されるまでの猶予がゼロ日」という意味に由来します。
つまり、ユーザーやベンダーが対策を講じる前に攻撃者に悪用される危険性が高いのです。
ゼロデイ脆弱性が危険な理由
ゼロデイ脆弱性がなぜ危険だと言われているのかの理由について深堀していきます。
- 【理由①】修正パッチが存在しない
- 攻撃にさらされても防御する手段がほぼ無いため。
- 【理由②】検知が難しい
- 従来のセキュリティ製品では道の脆弱性を検知できない可能性が高い為。
- 【理由③】攻撃成功率が高い
- 公開されていないため、攻撃者は発見次第すぐに悪用できる。
通常の脆弱性とゼロデイ脆弱性の違い
脆弱性には「既知のもの」と「まだ公開されていないもの」があります。特に後者が「ゼロデイ脆弱性」と呼ばれ、深刻度が高いとされます。以下の表で両者の違いを整理しました。
| 項目 | 通常の脆弱性 | ゼロデイ脆弱性 |
|---|---|---|
| 公開状況 | 開発元やセキュリティ機関によって公開されている | 公開されていない／発見直後で一般に知られていない |
| 修正パッチ | 多くの場合、既に修正版やアップデートが提供されている | 修正パッチが存在しないため、攻撃に無防備な状態 |
| 攻撃リスク | 公開後は攻撃者にも知られるが、対策が可能 | 防御手段が限られ、攻撃が成功しやすい |
| ユーザーの対処 | アップデートや設定変更でリスクを軽減できる | 公式修正が出るまでユーザー側の対処がほぼ困難 |
| 影響範囲 | 被害は限定的になることも多い | 深刻度が高く、広範囲に影響が及ぶ可能性が大きい |
脆弱性とゼロデイ脆弱性の説明をしてきましたが、両者の違いはどこにあるのでしょうか？
脆弱性は情報セキュリティの欠陥全般のことを指します。修正さえたかどうかの話は関係ありません。情報セキュリティ上の欠陥はすべて脆弱性です。先ほどの盾の話だと「盾は雨水が弱点」という事実が脆弱性です。
夫弱点的なイメージかな
一方ゼロデイ脆弱性は「脆弱性の発見から修正されるまでの期間」のことを指します。先ほどの盾の話だと「盾は雨水が弱点と分かった時から雨水にも強い盾を作った」前までがゼロデイ脆弱性です。
ポチップ
脆弱性で「積極的に悪用された可能性がある」とは？
iOSのアップデート内容で、「積極的に悪用された可能性がある」という文言を見たことはありませんか？
2023 年 9 月 21 日発売
カーネル
対応機種：iPhone XS以降、iPad Pro 12.9インチ 第2世代以降、iPad Pro 10.5インチ、iPad Pro 11インチ 第1世代以降、iPad Air 第3世代以降、iPad 第6世代以降、iPad mini 第5世代世代以降
影響: ローカルの攻撃者が自分の権限を昇格できる可能性があります。Apple は、この問題が iOS 16.7 より前のバージョンの iOS に対して積極的に悪用された可能性があるという報告を認識しています。
https://support.apple.com/en-us/HT213926日本語訳
これは脆弱性の修正をiOS17.0.1で行ったけど、いろいろ調べたら脆弱性の期間中に実際に攻撃（悪用）を受けた可能性があるということです。
コメント