watchOS 10.5リリース、任意コード実行など複数の脆弱性に対処、ポインター認証バイパスの欠陥も

text: XEXEQ編集部

watchOS 10.5に関する記事の要約
watchOS 10.4で新たに発見されたゼロデイ脆弱性
watchOS 10.6ではユーザーの位置情報流出の可能性
脆弱性修正に関する考察
参考サイト

watchOS 10.5に関する記事の要約

watchOS 10.5で複数の脆弱性が修正
任意のコード実行や機密情報アクセスなどの問題に対処
影響を受けるのはApple Watch Series 4以降
WebKitにもポインター認証をバイパス可能な脆弱性

watchOS 10.4で新たに発見されたゼロデイ脆弱性

Appleは2024年5月13日、watchOS 10.5をリリースした。このアップデートには、CVE-2024-27804、CVE-2024-27816、CVE-2024-27810など複数の脆弱性修正が含まれる。これらの脆弱性を悪用されると、任意のコード実行やユーザデータへの不正アクセスなどの被害が生じる可能性があった。^[1]

中でもCVE-2024-27804は、カーネル権限での任意コード実行を許す危険度の高い脆弱性だ。影響を受けるデバイスはApple Watch Series 4以降で、ユーザーはwatchOS 10.5へのアップデートが強く推奨される。

watchOS 10.5の対象となったもう一つの注目すべき脆弱性がWebKitエンジンの脆弱性だ。CVE-2024-27834と識別されたこの欠陥は、任意の読み書き権限を利用してポインター認証をバイパスできてしまう。

watchOS 10.6ではユーザーの位置情報流出の可能性

watchOS 10.5では、MapsとShortcutsにユーザーの機密位置情報が読み取られたり、同意なくアウトプットされたりする可能性のある欠陥が見つかっている。これらの問題はCVE-2024-27810とCVE-2024-27821として追跡され、パス処理の改善によって修正された。位置情報の取り扱いに関しては、プライバシー面での懸念も指摘されているところだ。

一方、リモートビューサービスでもロジックの問題からユーザーデータへの不正アクセスを許す脆弱性（CVE-2024-27816）も見つかっている。リモートからユーザーデータを覗き見される危険性は、今後も警戒が必要なポイントと言えるだろう。

今回のwatchOS更新で修正されたこれらの脆弱性は、いずれもユーザーのプライバシーや機密性に関わる重大なものばかりだ。スマートウォッチは身に着けるだけに、セキュリティ上の一つの穴が深刻な被害につながりかねない。Appleには今後もタイムリーな脆弱性対応を期待したいところである。

脆弱性修正に関する考察

今回のwatchOSアップデートで修正された一連の脆弱性は、スマートウォッチというウェアラブルデバイスならではのセキュリティリスクを浮き彫りにしたと言える。腕時計型のコンピュータは利便性の裏で、常に身に着けているがゆえのプライバシー侵害の危険と隣り合わせなのだ。位置情報や健康データなどの機密情報を狙ったサイバー攻撃は、今後ますます巧妙化していくことが予想される。

IoTデバイスのセキュリティ対策は、ベンダー任せにするだけでは限界がある。ユーザー側でも怪しいアプリのインストールを避けたり、OSアップデートを欠かさないようにしたりと、一定の警戒心を持つ必要があるだろう。と同時にデータ収集の透明性やプライバシーコントロール機能など、信頼に足るベンダーを選ぶ目も重要だ。セキュリティは利便性とのトレードオフの側面があるだけに、一朝一夕には解決しない難しい課題ではある。

AppleはiOSに続き、watchOSでもポインター認証バイパス（PAC）の脆弱性が見つかるなど、アーキテクチャレベルの欠陥が露呈している。メモリ安全性の問題は根が深く、抜本的な対策が求められるところだ。機械学習を活用した脆弱性検知など、最先端のセキュリティ技術の活用にも期待が高まる。