iOS 18およびiPadOS 18のセキュリティコンテンツについて

iOS 18およびiPadOS 18のセキュリティコンテンツについて説明します。

Appleセキュリティアップデートについて

Appleでは、ユーザ保護の観点から、調査が終了してパッチやリリースが公開されるまでは、セキュリティ上の問題を公開、説明、または是認いたしません。最新のリリースについては、「Appleのセキュリティリリース」ページに一覧形式でまとめています。

Appleのセキュリティ関連の文書では、可能な場合、脆弱性のCVE-ID に言及しています。

セキュリティについて詳しくは、Apple製品のセキュリティに関するページを参照してください。

iOS 18およびiPadOS 18

2024年9月16日リリース

Accessibility

対象：iPhone XS以降、iPad Pro 13インチ、iPad Pro 12.9インチ（第3世代）以降、iPad Pro 11インチ（第1世代）以降、iPad Air（第3世代）以降、iPad（第7世代）以降、iPad mini（第5世代）以降

影響：物理的なアクセスが可能な攻撃者が、Siriを使って機微なユーザデータにアクセスできる可能性がある。

説明：ステート管理を改善し、この問題に対処しました。

CVE-2024-40840：Lakshmi Narain College of Technology Bhopal IndiaのAbhay Kailasia氏（@abhay_kailasia）

Accessibility

影響：アプリが、ユーザがインストールしたアプリを特定できる可能性がある。

説明：この問題は、データ保護を強化することで解決されました。

CVE-2024-40830：Chloe Surett氏

Accessibility

影響：ロックされたデバイスへの物理的なアクセスが可能な攻撃者が、アクセシビリティ機能を使って近くのデバイスを操作できる可能性がある。

説明：ステート管理を改善し、この問題に対処しました。

CVE-2024-44171：Jake Derouin氏（jakederouin.com）

2025年3月3日に更新

Accessibility

影響：攻撃者がアシスティブアクセスでの認証なしに直近の写真を閲覧できる可能性がある。

説明：この問題は、ロックされたデバイスで提示されるオプションを制限することで解決されました。

CVE-2024-40852：Lakshmi Narain College of Technology Bhopal IndiaのAbhay Kailasia氏（@abhay_kailasia）

ARKit

影響：悪意を持って作成されたファイルを処理すると、ヒープ破損が起きる可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2024-44126：Holger Fuhrmannek氏

2024年10月28日に追加

Cellular

影響：リモートの攻撃者からサービス運用妨害を受ける可能性がある。

説明：ステート管理を改善し、この問題に対処しました。

CVE-2024-27874：Tuan D. Hoang氏

Compression

影響：悪意を持って作成されたアーカイブのパックを解除すると、攻撃者が任意のファイルを書き込めるようになる可能性がある。

説明：ロック処理を強化することで、競合状態の脆弱性に対処しました。

CVE-2024-27876：Snoolie Keffaber氏（@0xilis）

Control Center

影響：アプリが、通知なしに画面を録画できる可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2024-27869：匿名の研究者

Core Bluetooth

影響：悪意のあるBluetooth入力デバイスが、ペアリングなしで接続できる可能性があった。

説明：ステート管理を改善し、この問題に対処しました。

CVE-2024-44124：Daniele Antonioli氏

FileProvider

影響：ローカルユーザにより、重要なユーザ情報が漏洩される可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2024-54469：KandjiのCsaba Fitzl氏（@theevilbit）

2025年3月3日に追加

FileProvider

影響：アプリが機微なユーザデータにアクセスできる可能性がある。

説明：シンボリックリンクの検証を改善することで、この問題に対処しました。

CVE-2024-44131：Jamfの@08Tc3wBB氏

Game Center

影響：アプリが機微なユーザデータにアクセスできる可能性がある。

説明：入力検証を強化して、ファイルへのアクセスの問題に対処しました。

CVE-2024-40850：Denis Tokarev（@illusionofcha0s）氏

ImageIO

影響：悪意を持って作成されたファイルを処理すると、アプリが予期せず終了する可能性がある。

説明：入力検証を強化して、領域外読み込みの脆弱性に対処しました。

CVE-2024-27880：Junsung Lee氏

ImageIO

影響：画像を処理すると、サービス運用妨害を受ける可能性がある。

説明：配列境界チェック機能を改善することで、領域外アクセスの脆弱性に対処しました。

CVE-2024-44176：Trend Micro Zero Day Initiative参加のZeroPointer Labのdw0r氏および匿名の調査者

IOSurfaceAccelerator

影響：アプリがシステムを予期せず終了させる可能性がある。

説明：メモリ処理を改善することで、この問題に対処しました。

CVE-2024-44169：Antonio Zekić 氏

Kernel

影響：ネットワークトラフィックがVPNトンネル外に流出する可能性がある。

説明：チェックを強化し、ロジックの脆弱性に対処しました。

CVE-2024-44165：Andrew Lytvynov氏

Kernel

影響：アプリがBluetoothに不正アクセスできる可能性がある。

説明：ステート管理を改善し、この問題に対処しました。

CVE-2024-44191：Alexander Heinrich氏、SEEMOO、DistriNet、KU Leuven（@vanhoefm）、TU Darmstadt（@Sn0wfreeze）およびMathy Vanhoef氏

LaunchServices

影響：アプリケーションがサンドボックスを破って外部で実行される可能性がある。

説明：チェックを強化し、ロジックの脆弱性に対処しました。

CVE-2024-44122：匿名の研究者

2025年3月3日に追加

LaunchServices

影響：悪意のあるアプリによって、アプリ管理許可がないほかのアプリが変更される可能性がある。

説明：チェックを強化し、ロジックの脆弱性に対処しました。

CVE-2024-54560：Kirin氏（@Pwnrin）、Jeff Johnson氏（underpassapp.com)

2025年3月3日に追加

libxml2

影響：悪意を持って作成されたWebコンテンツを処理すると、プロセスが予期せずクラッシュする可能性がある。

説明：入力検証を強化することで、整数オーバーフローに対処しました。

CVE-2024-44198：OSS-Fuzz、Google Project ZeroのNed Williamson氏

Mail Accounts

影響：アプリがユーザの連絡先に関する情報にアクセスできる可能性がある。

説明：ログエントリに対するプライバシーデータの墨消しを改善することで、プライバシーの問題に対処しました。

CVE-2024-40791：Rodolphe BRUNETTI氏（@eisw0lf）

mDNSResponder

影響：アプリからサービス運用妨害を受ける可能性がある。

説明：ファイル処理を改善し、ロジックの問題に対処しました。

CVE-2024-44183：Olivier Levon氏

Model I/O

影響：悪意を持って作成された画像を処理すると、サービス運用妨害を受ける可能性がある。

説明：これはオープンソースコードにおける脆弱性であり、この脆弱性の影響を受けるプロジェクトにはAppleソフトウェアも含まれます。CVE-IDはサードパーティによって割り当てられました。この問題やCVE-IDについて詳しくは、cve.orgを確認してください。

CVE-2023-5841

NetworkExtension

影響：アプリがローカルネットワークに不正アクセスできる可能性がある。

説明：ステート管理を改善し、この問題に対処しました。

CVE-2024-44147：Alexander Heinrich氏、SEEMOO、DistriNet、KU Leuven（@vanhoefm）、TU Darmstadt（@Sn0wfreeze）およびMathy Vanhoef氏

Notes

影響：アプリが任意のファイルに上書きできる可能性がある。

説明：この問題は、脆弱なコードを削除することで解決されました。

CVE-2024-44167：ajajfxhj氏

Passwords

影響：認証に失敗した後、「パスワードの自動入力」によってパスワードが入力される可能性がある。

説明：脆弱なコードを削除し、追加のチェックを設けることで、アクセス許可の問題に対処しました。

CVE-2024-44217：Bistrit Dahal氏、Joshua Keller氏、Lukas氏、匿名の研究者

2024年10月28日に追加、2025年3月03日に更新

Printing

影響：プリントのプレビューを使用したときに、暗号化されていない書類が一時ファイルに書き込まれる可能性がある。

説明：ファイルの処理を改善することで、プライバシーの問題に対処しました。

CVE-2024-40826：匿名の調査者

Safari

影響：悪意を持って作成されたWebコンテンツが、iframeのサンドボックス化ポリシーに違反する可能性がある。

説明：入力検証を強化し、カスタムURLスキームの処理における脆弱性に対処しました。

CVE-2024-44155：Suma Soft Pvt.Ltd.（インド、プネー）のNarendra Bhati氏（Manager of Cyber Security）

2024年10月28日に追加

Safari Private Browsing

影響：プライベートブラウズのタブに、認証されないままアクセスできる可能性がある。

説明：ステート管理を改善し、認証の脆弱性に対処しました。

CVE-2024-44202：Kenneth Chew氏

Safari Private Browsing

影響：プライベートブラウズのタブに、認証されないままアクセスできる可能性がある。

説明：ステート管理を改善し、この問題に対処しました。

CVE-2024-44127：Anamika Adhikari氏

Sandbox

影響：アプリが重要なユーザ情報を漏洩させる可能性がある。

説明：この問題は、データ保護を強化することで解決されました。

CVE-2024-40863：KandjiのCsaba Fitzl氏（@theevilbit）

2024年10月28日に更新

SceneKit

影響：悪意を持って作成されたファイルを処理すると、アプリが予期せず終了する可能性がある。

説明：サイズ検証を強化し、バッファオーバーフローに対処しました。

CVE-2024-44144：냥냥

2024年10月28日に追加

Security

影響：悪意を持って作成されたアプリがルート権限を使ってユーザの承諾なしにキーボード入力と位置情報にアクセスできる可能性がある。

説明：制限を強化し、アクセス権の問題に対処しました。

CVE-2024-44123：SecuRingのWojciech Regula氏（wojciechregula.blog）

2024年10月28日に追加

Sidecar

対象：iPad Pro 13インチ、iPad Pro 12.9インチ（第3世代以降）、iPad Pro 11インチ（第1世代以降）、iPad Air（第3世代以降）、iPad（第7世代以降）、iPad mini（第5世代以降）

影響：Sidecarが有効になっているmacOSデバイスに物理的にアクセスできる攻撃者がロック画面をバイパスできる可能性がある。

説明：ステート管理を改善し、この問題に対処しました。

CVE-2024-44145：Zaprico DigitalのOm Kothawade氏、UNTHSC College of PharmacyのOmar A. Alanis氏

2024年10月28日に追加

Siri

影響：デバイスに物理的にアクセスできる攻撃者が、ロック画面から連絡先の番号を読み取れる可能性がある。

説明：この問題は、ロックされたデバイスで提示されるオプションを制限することで解決されました。

CVE-2024-44179：Bistrit Dahal氏、Matej Moravec氏（@MacejkoMoravec)

2025年3月3日に追加

Siri

影響：攻撃者がSiriを使って「自動で電話に出る」を有効にできる可能性がある。

説明：この問題は、ロックされたデバイスで提示されるオプションを制限することで解決されました。

CVE-2024-40853：ZUSO ARTおよびtaikosoupのChi Yuan Chang氏

2024年10月28日に追加

Siri

影響：物理的にアクセス可能な攻撃者が、ロック画面から連絡先にアクセスできる可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2024-44139：Srijan Poudel氏

CVE-2024-44180：Bistrit Dahal氏

Siri

影響：アプリが機微なユーザデータにアクセスできる可能性がある。

説明：機微なデータをより安全な場所に移動することで、プライバシーの問題に対処しました。

CVE-2024-44170：K宝氏、LFY氏（@secsys）、Smi1e氏、yulige氏、Cristian Dinca氏（icmd.tech）、Rodolphe BRUNETTI氏（@eisw0lf）

TCC

影響：アプリが、ユーザの写真ライブラリの写真へのアクセス権を許可するようユーザを誘導できる可能性がある。

説明：プロセス外ビューの処理を改善したことで、クリックジャッキングの問題に対処しました。

CVE-2024-54558：BreakPoint.shのRon Masas氏、匿名の研究者

2025年3月3日に追加

Transparency

影響：アプリが機微なユーザデータにアクセスできる可能性がある。

説明：制限を強化し、アクセス権の問題に対処しました。

CVE-2024-44184：Bohdan Stasiuk氏（@Bohdan_Stasiuk）

UIKit

影響：攻撃者にアプリを突然終了される可能性がある。

説明：配列境界チェック機能を改善することで、この問題に対処しました。

CVE-2024-27879：Justin Cohen氏

WebKit

影響：悪意のあるWebサイトに、データをクロスオリジンで取得される可能性がある。

説明：ステート管理を強化し、Cookie管理の脆弱性に対処しました。

WebKit Bugzilla：287874

CVE-2024-54467：Suma Soft Pvt.Ltd.（インド、プネー）のNarendra Bhati氏（Manager of Cyber Security）

2025年3月3日に追加

WebKit

影響：悪意を持って作成されたWebコンテンツを処理すると、プロセスが予期せずクラッシュする可能性がある。

説明：チェックを強化することで、この問題に対処しました。

WebKit Bugzilla：268770

CVE-2024-44192：Tashita Software Security

2025年3月3日に追加

WebKit

影響：悪意を持って作成されたWebコンテンツを処理すると、ユニバーサルクロスサイトスクリプティング攻撃につながるおそれがある。

説明：ステート管理を改善し、この問題に対処しました。

WebKit Bugzilla: 268724

CVE-2024-40857：Ron Masas氏

WebKit

影響：悪意のあるWebサイトに、データをクロスオリジンで取得される可能性がある。

説明："iframe" 要素にクロスオリジンの脆弱性がありました。この問題は、セキュリティオリジンの追跡を強化することで解決されました。

WebKit Bugzilla：279452

CVE-2024-44187：Suma Soft Pvt.Ltd.（インド、プネー）のNarendra Bhati氏（Manager of Cyber Security）

Wi-Fi

影響：アプリにシステムを突然終了されたり、カーネルメモリを破損されたりする可能性がある。

説明：メモリ処理を改善することで、この問題に対処しました。

CVE-2024-44227：Tim Michaud氏（@TimGMichaud）（Moveworks.ai）

2025年3月3日に追加

Wi-Fi

影響：攻撃者が、デバイスを保護されたネットワークから強制的に遮断できる可能性がある。

説明：Beacon Protectionを使って、整合性の問題を解決しました。

CVE-2024-40856：Preet Dsouza氏（Fleming College、Computer Security & Investigations Program）、Domien Schepers氏

2025年3月3日に更新

ご協力いただいたその他の方々

Accounts

ByteDanceのIES Red Teamのご協力に感謝いたします。

2025年3月3日に追加

Core Bluetooth

Onymos Inc.（onymos.com）のNicholas C.氏のご協力に感謝いたします。

CoreGraphics

Lakshmi Narain College of Technology Bhopal IndiaのAbhay Kailasia氏（@abhay_kailasia）、Bharat（mrnoob）氏、ZUSO ARTおよびtaikosoupのChi Yuan Chang氏、J T氏のご協力に感謝いたします。

2025年3月3日に追加

dyld

Shielder（shielder.com）のAbdel Adim Oisfi氏、Pietro Francesco Tirenna氏、Davide Silvetti氏のご協力に感謝いたします。

2025年3月3日に追加

Find My

山東大学のXiaofeng Liu氏のご協力に感謝いたします。

2025年3月3日に追加

Foundation

Ostorlabのご協力に感謝いたします。

ImageIO

Junsung Lee氏のご協力に感謝いたします。

2025年3月3日に追加

Installer

Lakshmi Narain College of Technology Bhopal IndiaのAbhay Kailasia氏（@abhay_kailasia）、ZUSO ARTおよびtaikosoupのChi Yuan Chang氏、Christian Scalese氏、Ishan Boda氏、Shane Gallagher氏のご協力に感謝いたします。

2024年10月28日に更新

Kernel

Braxton Anderson氏、Deutsche Telekom Security GmbH（スポンサー：Bundesamt für Sicherheit in der Informationstechnik）、PixiePoint SecurityのFakhri Zulkifli氏（@d0lph1n98）のご協力に感謝いたします。

Magnifier

Andr.Ess氏のご協力に感謝いたします。

Maps

"Tudor Vianu" National High School of Computer Science（ルーマニア）のCristian Dinca氏、Kirin氏（@Pwnrin）のご協力に感謝いたします。

2025年3月3日に更新

Messages

ZUSO ARTおよびtaikosoupのChi Yuan Chang氏のご協力に感謝いたします。

MobileLockdown

Andr.Ess氏のご協力に感謝いたします。

Notifications

Lakshmi Narain College of Technology BhopalのAbhay Kailasia氏（@abhay_kailasia）、Dev dutta氏（manas.dutta.75）、Prateek Pawar氏（vakil sahab）、匿名の研究者氏のご協力に感謝いたします。

2025年3月3日に更新

Passwords

Richard Hyunho Im氏（@r1cheeta）のご協力に感謝いたします。

Photos

Lakshmi Narain College of Technology Bhopal IndiaのAbhay Kailasia氏（@abhay_kailasia）、Harsh Tyagi氏、Kenneth Chew氏、Leandro Chaves氏、Technocrat Institute of Technology BhopalのSaurabh Kumar氏、Shibin B Shaji氏、Vishnu Prasad P G氏、UST氏、Yusuf Kelany氏、Junior Vergara氏のご協力に感謝いたします。

2025年3月3日に更新

Safari

HakTrakのHafiizh氏およびYoKo Kho氏（@yokoacc）、James Lee氏（@Windowsrcer）のご協力に感謝いたします。

Settings

Lakshmi Narain College of Technology Bhopal IndiaのAbhay Kailasia氏（@abhay_kailasia）、Bistrit Dahal氏、ZUSO ART and taikosoupのChi Yuan Chang氏、Ethan Bischof氏のご協力に感謝いたします。

2025年3月3日に追加

SharePlay

匿名の研究者のご協力に感謝いたします。

2025年3月3日に追加

Shortcuts

"Tudor Vianu" National High School of Computer Science（ルーマニア）のCristian Dinca氏、Jacob Braun氏、匿名の調査者のご協力に感謝いたします。

Siri

Lakshmi Narain College of Technology Bhopal IndiaのAbhay Kailasia氏（@abhay_kailasia）、Rohan Paudel氏、匿名の研究者のご協力に感謝いたします。

2024年10月28日に更新

Spotlight

Paulo Henrique Batista Rosa de Castro氏（@paulohbrc）のご協力に感謝いたします。

2024年10月28日に追加

Status Bar

Lakshmi Narain College of Technology Bhopal IndiaのAbhay Kailasia氏（@abhay_kailasia）、Jacob Braun氏、Jake Derouin氏（jakederouin.com）、Kenneth Chew氏のご協力に感謝いたします。

2025年3月3日に更新

TCC

Vaibhav Prajapati氏のご協力に感謝いたします。

UIKit

Andr.Ess氏のご協力に感謝いたします。

Voice Memos

Lisa B氏のご協力に感謝いたします。

Wallet

Hasso Plattner InstituteのAaron Schlitt氏（@aaron_sfn）のご協力に感謝いたします。

2025年1月24日に更新

WebKit

Oligo SecurityのAvi Lumelsky氏およびUri Katz氏、Braylon氏（@softwarescool）、Eli Grey氏（eligrey.com）、Johan Carlsson氏（joaxcar）、Numan Türle氏 - Rıza Sabuncu氏のご協力に感謝いたします。

2024年10月28日に更新

Apple が製造していない製品に関する情報や、Apple が管理または検証していない個々の Web サイトについては、推奨や承認なしで提供されています。Apple は他社の Web サイトや製品の選択、性能、使用に関しては一切責任を負いません。Apple は他社の Web サイトの正確性や信頼性についてはいかなる表明もいたしません。詳しくは各メーカーや開発元にお問い合わせください。

公開日： 2025 年 03 月 07 日