Oligur

• ニュース

Appleは、iPhoneのカメラが乗っ取られる可能性のあるいくつかの重大な欠陥を排除した。

ハッカーのライアン・ピックレン氏は、Safariにおける「かなり激しい」バグ探しの旅の最中にこれらの脆弱性を発見しました。彼はその功績に対し、Appleのバグバウンティプログラムを通じて7万5000ドルの賞金を受け取りました。

iOSは最も安全なモバイルオペレーティングシステムと考えられています。Appleは長年にわたり、iPhoneとiPadユーザーがデバイスが不正利用され、データが漏洩する心配をしなくて済むよう、保護機能の強化に取り組んできました。

しかし、ソフトウェアにはよくあることですが、検出されない脆弱性も存在します。ピックレン氏はSafariに7件もの脆弱性を発見し、そのうち3件はiPhoneのカメラを悪意のあるコードに乗っ取られるものでした。

Safariの欠陥によりiPhoneのカメラにアクセス可能

ゼロデイ脆弱性を悪用すれば、その悪用方法を知っている人なら誰でもカメラとマイクへのアクセスを許可してしまう可能性があります。iPhoneユーザーに悪意のあるウェブサイトにアクセスさせるだけで、悪用される可能性があります。

「このようなバグは、オペレーティングシステムやメーカーに関係なく、ユーザーが自分のカメラが安全であると決して確信してはいけない理由を示しています」とピックレン氏はフォーブスに説明した。

これらの脆弱性は昨年12月に発見されました。ピックレン氏は、奇妙な動作が見つかるまで「分かりにくいコーナーケースでブラウザを攻撃する」ことを決意しました。彼は、非常に強力なカメラセキュリティにもかかわらず、カメラセキュリティに焦点を絞りました。

間もなく、7 つの脆弱性 (CVE-2020-3852、CVE-2020-3864、CVE-2020-3865、CVE-2020-3885、CVE-2020-3887、CVE-2020-9784、CVE-2020-9787) が見つかりました。

Appleが迅速な解決策を提供

ピックレン氏は発見した内容をアップルに報告し、カメラへのアクセスを許可する最も深刻な3つの脆弱性は1月下旬にSafari 13.0.5アップデートで修正された。

その他のそれほど深刻ではない欠陥は、3月24日にリリースされたSafari 13.1で修正された。

ピックレン氏はその功績により7万5000ドルの賞金を獲得した。彼は、Appleの製品セキュリティチームと協力して問題解決に取り組めたことを「本当に楽しかった」と語り、賞金は新製品の購入と新たなバグの発見に充てる予定だ。

「Appleがセキュリティ研究コミュニティの協力を受け入れてくれたことに本当に興奮しています」とピックレン氏は付け加えた。