Apple、巧妙なスパイウェア攻撃で悪用されたCVE-2025-43300の修正をバックポート

2025年9月16日Ravie Lakshmanan脆弱性 / スパイウェア

Appleは月曜日、最近修正されたセキュリティ脆弱性に対する修正を、すでに実際に悪用されていることを受けてバックポートしました。

問題となっている脆弱性はCVE-2025-43300（CVSSスコア: 8.8）で、ImageIOコンポーネントにおけるバッファオーバーフロー（アウト・オブ・バウンズ書き込み）により、悪意のある画像ファイルを処理する際にメモリ破損が発生する可能性があります。

「Appleは、この問題が特定の標的となった個人に対して極めて巧妙な攻撃で悪用された可能性があるという報告を認識しています」と同社は述べています。

その後、WhatsAppはAppleのiOSおよびmacOS向けメッセージングアプリにおける脆弱性（CVE-2025-55177、CVSSスコア: 5.4）が、CVE-2025-43300と組み合わされ、200人未満を標的とした高度なスパイウェア攻撃の一部として利用されたことを認めました。

この脆弱性は、iPhoneメーカーによって先月末にiOS 18.6.2およびiPadOS 18.6.2、iPadOS 17.7.10、macOS Ventura 13.7.8、macOS Sonoma 14.7.8、macOS Sequoia 15.6.1のリリースで最初に対処されましたが、以下の旧バージョンにも修正が提供されています。

• iOS 16.7.12およびiPadOS 16.7.12 – iPhone 8、iPhone 8 Plus、iPhone X、iPad（第5世代）、iPad Pro 9.7インチ、iPad Pro 12.9インチ（第1世代）
• iOS 15.8.5およびiPadOS 15.8.5 – iPhone 6s（全モデル）、iPhone 7（全モデル）、iPhone SE（第1世代）、iPad Air 2、iPad mini（第4世代）、iPod touch（第7世代）

これらのアップデートは、ロールアウトされており、iOS 26、iPadOS 26、iOS 18.7、iPadOS 18.7、macOS Tahoe 26、macOS Sequoia 15.7、macOS Sonoma 14.8、tvOS 26、visionOS 26、watchOS 26、Safari 26、Xcode 26と共に提供されており、これらは他にも多数のセキュリティ脆弱性に対応しています。

• CVE-2025-31255 – IOKitにおける認可の脆弱性で、アプリが機密データへアクセスできてしまう可能性がある
• CVE-2025-43362 – LaunchServicesの脆弱性で、アプリがユーザーの許可なくキーストロークを監視できてしまう可能性がある
• CVE-2025-43329 – Sandboxにおける権限の脆弱性で、アプリがサンドボックスから脱出できてしまう可能性がある
• CVE-2025-31254 – Safariの脆弱性で、悪意のあるWebコンテンツを処理する際に予期しないURLリダイレクトが発生する可能性がある
• CVE-2025-43272 – WebKitの脆弱性で、悪意のあるWebコンテンツを処理する際にSafariが予期せずクラッシュする可能性がある
• CVE-2025-43285 – AppSandboxにおける権限の脆弱性で、アプリが保護されたユーザーデータにアクセスできてしまう可能性がある
• CVE-2025-43349 – CoreAudioにおけるバッファオーバーフローで、悪意のある動画ファイルを処理する際にアプリが予期せず終了する可能性がある
• CVE-2025-43316 – DiskArbitrationにおける権限の脆弱性で、アプリがroot権限を取得できてしまう可能性がある
• CVE-2025-43297 – Power Managementにおける型混同の脆弱性で、サービス拒否（DoS）が発生する可能性がある
• CVE-2025-43204 – RemoteViewServicesの脆弱性で、アプリがサンドボックスから脱出できてしまう可能性がある
• CVE-2025-43358 – Shortcutsにおける権限の脆弱性で、ショートカットがサンドボックス制限を回避できてしまう可能性がある
• CVE-2025-43333 – Spotlightにおける権限の脆弱性で、アプリがroot権限を取得できてしまう可能性がある
• CVE-2025-43304 – StorageKitにおける競合状態（レースコンディション）の脆弱性で、アプリがroot権限を取得できてしまう可能性がある
• CVE-2025-48384 – XcodeにおけるGitの脆弱性で、悪意のあるリポジトリをクローンする際にリモートコード実行が発生する可能性がある

上記の脆弱性が実際の攻撃で武器化された証拠は現時点でありませんが、最適な保護のためにシステムを常に最新の状態に保つことが推奨されます。