iPhoneのiOSに、悪意あるアプリが他のアプリのデータを読み取れる脆弱性があるとして、暗号資産取引所のBinanceが警告しました。iOS27.3の正式版は12月に配信される予定ですが、そこで直るとは限りません。研究者の1人は、11月12日時点で最新のiOS27.2.1でも未修正だと説明しています。何が危険にさらされ、配信までに何をしておけばよいのかを順に見ていきます。
Binanceが警告するiOSの脆弱性とは
海外メディアの報道によると、Binanceは現地時間11月10日、iOSそのものの問題として注意を呼びかけました。OSの問題である以上、暗号資産を使わない人にも関わる話です。
他のアプリのファイルを読み取られる恐れ
「worse_query」と呼ばれるこの脆弱性は、アプリ同士のファイルを隔てる保護「サンドボックス」を回避するものです。Binanceは、ウォレットの復元に使うシードフレーズや秘密鍵、ログイン情報が危険にさらされるとしています。
研究者が公開した検証用コードを使い、他のアプリのデータを変更・削除できるアプリも作られ、改造していないiPhoneで動くと報じられています。
警告の文面からは、悪意あるアプリがそのiPhoneに入っていることが攻撃の前提だと読み取れます。何もしていないiPhoneから突然データが抜かれる話ではなく、どんなアプリが入っているかが出発点になります。
影響を受けるiOSと被害報告の有無
Binanceが挙げた対象はiOS26.7.1、iOS27.0.1、iOS27.2で、iOS27.2.1は含まれていません。ただし、この3つに当てはまらないiPhoneを対象外と決めつけないほうがよさそうです。
この脆弱性を使った攻撃や盗難は、Binanceからも研究者からも報告されていません。とはいえ、報告がないことと被害が起きないことは別の話です。
アプリ間のデータ分離が破られると何が起きるのか
サンドボックスによるアプリ間のデータ分離が破られると、悪意あるアプリに渡した覚えのない情報まで読まれる可能性があります。「このアプリに入れた情報は、このアプリの中にとどまる」という前提が崩れる点に、今回の問題の重さがあります。
自分への影響を考える手がかりは、普段使うアプリが端末内に何を保存しているかです。ログイン状態を保つための情報や、自分で書き込んだ内容を端末内に持つアプリは、金融や決済、パスワード管理、メモなど種類を問いません。Binanceが挙げたログイン情報は暗号資産のアプリに限った話ではなく、暗号資産を持たない人にも関わる理由はここにあります。
読まれた場合の重みは、情報の種類によって変わります。パスワードは変更すれば無効にできますが、シードフレーズや秘密鍵は後から変えることが難しく、同じ「読まれる」でも影響の大きさが違います。
ただ、端末内に何をファイルとして置くかはアプリごとに異なり、すべてのアプリの情報が同じように読み取れると決まったわけでもありません。あらゆる情報が無条件に盗まれると受け取るのは行き過ぎです。
最新のiOS27.2.1でも修正は確認されていない
Appleが公開したiOS27.2.1のセキュリティ内容に、この問題だと明記した項目は見当たりません。記載がないだけで未修正とは決められませんが、修正済みだと示す材料も今のところありません。
一方、App Intentsという仕組みでは、アプリが機密性の高いユーザーデータにアクセスできる恐れのある問題が修正されました。文言は似ていますが、今回の問題と同じだと示す情報はなく、これで直ったとは考えられません。
Appleは、調査を終えて修正版を提供できるまで、セキュリティ上の問題を公表も確認もしない方針です。Appleが今回の脆弱性を認めたとも否定したとも言えず、「未修正」は研究者側の説明にとどまります。公表しない方針だからといって、対応していないとは言えません。
来月配信のiOS27.3で修正されるとは限らない
Appleは中国向けApple Intelligenceの案内で、iOS27.3の正式版を12月に公開するとしています。この案内は新機能の提供時期を伝えたもので、今回の脆弱性の修正が含まれるかどうかは別の問題です。
関係する3つのバージョンを並べると、次のようになります。
| バージョン | 位置づけ | 今回の脆弱性 |
|---|---|---|
| iOS27.2.1 | 最新の正式版 | 研究者の1人が未修正と説明 |
| iOS27.3ベータ1 | 開発者向け | 同上 |
| iOS27.3正式版 | 12月に公開予定 | 修正の有無は示されていない |
ベータ1の配布は、脆弱性の公開より前です。そのため、ベータ1で直っていないことは、正式版でも直らないことを意味しません。今後のベータや別の修正版で対応が入る可能性も、入らない可能性もあります。
修正の有無を知る手がかりは、配信時にAppleが公開するセキュリティ内容です。worse_queryは通称のため、Appleの文書では、他のアプリのデータを読み取れる問題として別の表現で記されるかもしれません。
iOS27.3の配信までにiPhoneでできること
修正の時期が分からない間にできるのは、iOSとアプリを最新に保つことと、iPhoneに入れるアプリや端末内に置く情報を減らすことの2つです。攻撃の前提が悪意あるアプリの存在にある以上、入口を狭める行動が中心になります。
未修正でもアップデートを続ける理由
iOS27.2.1はiMessageやBluetoothの別の問題を修正しており、Binanceも最新の正式版への更新を勧めています。「今回の件が直っていないなら急がなくてよい」と考えてiOS27.2.1より前のままでいると、すでにふさがれた穴まで残ってしまいます。すでにiOS27.2.1にしている人も、修正がどの更新に入るか分からないからこそ、更新を続ける意味があります。
入手元が不確かなアプリと保存情報を見直す
Binanceは、公式ストア以外から入れたものなど、信頼できない入手元のアプリの削除を勧めています。入手元を絞るのは危険を下げる手段であり、公式ストアのアプリなら影響を受けないと示す情報はありません。
入手元の確認に加えて、長く開いていないアプリを消しておくと、入口をさらに減らせます。公式ストア以外を使った覚えがない人も、どこから入れたか思い出せないアプリがないか、一覧を見直しておく価値があります。
どのファイルが読み取られるかは分かっていませんが、ウォレットの復元用の語句やパスワードを端末内にそのまま残している人は、端末の外に置く方法を考えておきたいところです。
警告は海外で出されたものですが、日本のiPhoneにも同じiOSが配信されています。12月のiOS27.3を待たずに更新を続けながら、配信時に修正内容を確かめるのが現実的です。
Photo: AppleInsider
- Original:https://iphone-mania.jp/ios-608572/
- Source:iPhone Mania
- Author:Yutel_06
Amazonベストセラー
Now loading...