iOS 18.2およびiPadOS 18.2のセキュリティコンテンツについて

iOS 18.2およびiPadOS 18.2のセキュリティコンテンツについて説明します。

Appleセキュリティアップデートについて

Appleでは、ユーザ保護の観点から、調査が終了してパッチやリリースが公開されるまでは、セキュリティ上の問題を公開、説明、または是認いたしません。最新のリリースについては、「Appleのセキュリティリリース」ページに一覧形式でまとめています。

Appleのセキュリティ関連の文書では、可能な場合、脆弱性のCVE-IDに言及しています。

セキュリティについて詳しくは、Apple製品のセキュリティに関するページを参照してください。

iOS 18.2およびiPadOS 18.2

2024年12月11日リリース

Accounts

対象：iPhone XS以降、iPad Pro 13インチ、iPad Pro 12.9インチ（第3世代）以降、iPad Pro 11インチ（第1世代）以降、iPad Air（第3世代）以降、iPad（第7世代）以降、iPad mini（第5世代）以降

影響：非表示の写真アルバムの写真が認証なしで表示される可能性がある。

説明：ファイル処理を改善し、ロジックの問題に対処しました。

CVE-2024-54488：Benjamin Hornbeck氏、Skadz氏（@skadz108）、ZUSO ARTおよびtaikosoupのChi Yuan Chang氏

2025年1月27日に追加

APFS

影響：アプリが機微なユーザデータにアクセスできる可能性がある。

説明：ステート管理を改善し、この問題に対処しました。

CVE-2024-5454：Arsenii Kostromin氏（0x3c3e）および匿名の研究者

2025年1月27日に追加

AppleMobileFileIntegrity

影響：悪意のあるアプリに、非公開の情報にアクセスされる可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2024-54526：Mickey Jin氏（@patch1t）、Arsenii Kostromin氏（0x3c3e）

AppleMobileFileIntegrity

影響：アプリが機微なユーザデータにアクセスできる可能性がある。

説明：この問題は、チェックを強化することで解決されました。

CVE-2024-54527：Mickey Jin氏（@patch1t）

Audio

影響：通話を着信中に消音にしても、消音が有効にならない場合がある。

説明：ステート管理を改善し、ユーザインターフェイス不一致の脆弱性に対処しました。

CVE-2024-54503：Micheal Chukwu氏および匿名の研究者

Contacts

影響：「メッセージ」や「メール」から自動入力されたシステムログ記録の連絡先情報をアプリが表示できる可能性がある。

説明：機微情報の墨消しを改善することで、この問題に対処しました。

CVE-2024-54550：Smi1e氏（@Smi1eSEC）

2025年1月27日に追加

Crash Reporter

影響：アプリが機微なユーザデータにアクセスできる可能性がある。

説明：制限を強化し、アクセス権の問題に対処しました。

CVE-2024-54513：匿名の研究者

Face Gallery

影響：システムバイナリを利用してApple Accountが特定される可能性がある。

説明：関連フラグを削除することで、この問題に対処しました。

CVE-2024-54512：Bistrit Dahal氏

2025年1月27日に追加

FontParser

影響：悪意を持って作成されたフォントを処理すると、プロセスメモリが漏洩する可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2024-54486：Trend Micro Zero Day InitiativeのHossein Lotfi氏（@hosselot）

ICU

影響：悪意を持って作成されたWebコンテンツを処理すると、プロセスが予期せずクラッシュする可能性がある。

説明：配列境界チェック機能を改善することで、領域外アクセスの脆弱性に対処しました。

CVE-2024-54478：Gary Kwong氏

2025年1月27日に追加

ImageIO

影響：悪意を持って作成された画像を処理すると、任意のコードが実行される可能性がある。

説明：メモリ管理を強化し、解放済みメモリ使用（use-after-free）の脆弱性に対処しました。

CVE-2024-54499：Trend Micro Zero Day Initiativeに協力する匿名の研究者

2025年1月27日に追加

ImageIO

影響：悪意を持って作成された画像を処理すると、プロセスメモリが漏洩する可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2024-54500：Trend Micro Zero Day Initiativeに協力するJunsung Lee氏

IOMobileFrameBuffer

影響：アプリがコプロセッサメモリを破損できる可能性がある。

説明：配列境界チェック機能を改善することで、この問題に対処しました。

CVE-2024-54517：Baidu SecurityのYe Zhang氏（@VAR10CK）

CVE-2024-54518：Baidu SecurityのYe Zhang氏（@VAR10CK）

CVE-2024-54522：Baidu SecurityのYe Zhang氏（@VAR10CK）

CVE-2024-54523：Baidu SecurityのYe Zhang氏（@VAR10CK）

2025年1月27日に追加

Kernel

影響：アプリがサンドボックスを破って外部で実行される可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2024-54468：匿名の研究者

2025年1月27日に追加

Kernel

影響：攻撃者がユーザ権限でカーネルメモリを読み取れる可能性がある。

説明：メモリ処理を強化し、型の取り違え（type confusion）の脆弱性に対処しました。

CVE-2024-54507：MIT CSAILのJoseph Ravichandran氏（@0xjprx）

2025年1月27日に追加

Kernel

影響：攻撃者が、読み取り専用のメモリマッピングを書き込み可能なものに改ざんできる可能性がある。

説明：検証を追加することで、競合状態に対処しました。

CVE-2024-54494：sohybbyk氏

Kernel

影響：アプリが重要なカーネル状態を漏洩させる可能性がある。

説明：ロック処理を強化することで、競合状態の脆弱性に対処しました。

CVE-2024-54510：MIT CSAILのJoseph Ravichandran氏（@0xjprx）

Kernel

影響：アプリにシステムを突然終了されたり、カーネルメモリを破損されたりする可能性がある。

説明：メモリ処理を改善することで、この問題に対処しました。

CVE-2024-44245：匿名の研究者

libexpat

影響：リモートの攻撃者により、アプリを突然終了されたり、任意のコードを実行されたりする可能性がある。

説明：これはオープンソースコードにおける脆弱性であり、この脆弱性の影響を受けるプロジェクトにはAppleソフトウェアも含まれます。CVE-IDはサードパーティによって割り当てられました。この問題やCVE-IDについて詳しくは、cve.orgを確認してください。

CVE-2024-45490

libxpc

影響：アプリがサンドボックスを破って外部で実行される可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2024-54514：匿名の研究者

libxpc

影響：アプリに昇格した権限を取得される可能性がある。

説明：チェックを強化し、ロジックの脆弱性に対処しました。

CVE-2024-44225：风沐云烟氏（@binary_fmyy）

Passkeys

影響：認証に失敗した後、「パスワードの自動入力」によってパスワードが入力される可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2024-54530：C-DAC（インド、ティルヴァナンタプラム）のAbhay Kailasia氏（@abhay_kailasia）、Rakeshkumar Talaviya氏

2025年1月27日に追加

Passwords

影響：ネットワーク上で特権的な地位を利用した攻撃者に、ネットワークトラフィックを改ざんされる可能性がある。

説明：ネットワークで情報を送信する際はHTTPSを利用することで、この問題に対処しました。

CVE-2024-54492：Mysk Inc.（@mysk_co）のTalal Haj Bakry氏およびTommy Mysk氏

QuartzCore

影響：Webコンテンツを処理すると、サービス運用妨害を受ける可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2024-54497：Trend Micro Zero Day Initiativeに協力する匿名の研究者

2025年1月27日に追加

Safari

影響：プライベートリレーが有効になっているデバイスでSafariリーディングリストにWebサイトを追加すると、発信元IPアドレスがWebサイトに漏洩する可能性がある。

説明：Safariからのリクエストのルーティングを強化することで、この問題に対処しました。

CVE-2024-44246：Jacob Braun氏

Safari Private Browsing

影響：プライベートブラウズのタブに、認証されないままアクセスできる可能性がある。

説明：ステート管理を改善し、認証の脆弱性に対処しました。

CVE-2024-54542：Rei氏（@reizydev）、Kenneth Chew氏

2025年1月27日に追加

SceneKit

影響：悪意を持って作成されたファイルを処理すると、サービス運用妨害を受ける可能性がある。

説明：チェックを強化することで、この問題に対処しました。

CVE-2024-54501：Trend Micro Zero Day InitiativeのMichael DePlante氏（@izobashi）

Vim

影響：悪意を持って作成されたファイルを処理すると、ヒープ破損が起きる可能性がある。

CVE-2024-45306

2025年1月27日に追加

VoiceOver

影響：iOSデバイスに物理的にアクセスできる攻撃者がロック画面で通知の内容を表示できる可能性がある。

説明：追加ロジックを追加することで、この問題に対処しました。

CVE-2024-54485：C-DAC（インド、ティルヴァナンタプラム）のAbhay Kailasia氏（@abhay_kailasia）

WebKit

影響：悪意を持って作成されたWebコンテンツを処理すると、プロセスが予期せずクラッシュする可能性がある。

説明：チェックを強化することで、この問題に対処しました。

WebKit Bugzilla：278497

CVE-2024-54479：Seunghyun Lee氏

WebKit Bugzilla：281912

CVE-2024-54502：Google Project ZeroのBrendon Tiszka氏

WebKit

影響：悪意を持って作成されたWebコンテンツを処理すると、プロセスが予期せずクラッシュする可能性がある。

説明：メモリ処理を改善することで、この問題に対処しました。

WebKit Bugzilla：282180

CVE-2024-54508：HKUS3Labのlinjy氏およびWHUSecLabのchluo氏、Tencent Security YUNDING LABのXiangwei Zhang氏

WebKit

影響：悪意を持って作成されたWebコンテンツを処理すると、メモリ破損が起こる可能性がある。

説明：メモリ処理を強化し、型の取り違え（type confusion）の脆弱性に対処しました。

WebKit Bugzilla：282661

CVE-2024-54505：Gary Kwong氏

WebKit

影響：悪意を持って作成されたWebコンテンツを処理すると、メモリ破損が起こる可能性がある。

説明：メモリ処理を改善することで、この問題に対処しました。

WebKit Bugzilla：277967

CVE-2024-54534：Tashita Software Security

WebKit Bugzilla：282450

CVE-2024-54543：Lukas Bernhard氏、Gary Kwong氏、および匿名の研究者

2025年1月27日に追加

ご協力いただいたその他の方々

Accessibility

Lakshmi Narain College of Technology Bhopal IndiaのAbhay Kailasia氏（@abhay_kailasia）、Andr.Ess氏、Jake Derouin氏、Jason Gendron氏（@gendron_jason）のご協力に感謝いたします。

App Protection

Lakshmi Narain College of Technology Bhopal IndiaのAbhay Kailasia氏（@abhay_kailasia）のご協力に感謝いたします。

Calendar

Lakshmi Narain College of Technology Bhopal IndiaのAbhay Kailasia氏（@abhay_kailasia）のご協力に感謝いたします。

FaceTime

椰椰氏のご協力に感謝いたします。

FaceTime Foundation

Joshua Pellecchia氏のご協力に感謝いたします。

Family Sharing

Lakshmi Narain College of Technology Bhopal India, J TのAbhay Kailasia（@abhay_kailasia）氏のご協力に感謝いたします。

Files

Christian Scalese氏のご協力に感謝いたします。

2025年1月27日に追加

Notes

Katzenfutter氏のご協力に感謝いたします。

Photos

Bistrit Dahal氏、ZUSO ARTおよびtaikosoupのChi Yuan Chang氏、Finlay James氏（@Finlay1010）、Rizki Maulana氏（rmrizki.my.id）、Srijan Poudel氏のご協力に感謝いたします。

Photos Storage

Jake Derouin氏（jakederouin.com）のご協力に感謝いたします。

Proximity

ジョージ・メイソン大学のJunming C.氏（@Chapoly1305）およびQiang Zeng教授のご協力に感謝いたします。

Quick Response

匿名の研究者のご協力に感謝いたします。

Safari

Jayateertha Guruprasad氏のご協力に感謝いたします。

Safari Private Browsing

Route Zero SecurityのRichard Hyunho Im氏（@richeeta）氏のご協力に感謝いたします。

Settings

Akshith Muddasani氏、Bistrit Dahal氏、Emanuele Slusarz氏、Abhishek Kanaujia氏のご協力に感謝いたします。

2025年1月27日に追加

Siri

Srijan Poudel氏およびBistrit Dahal氏のご協力に感謝いたします。

2025年1月27日に追加

Spotlight

LNCT BhopalおよびC-DAC Thiruvananthapuram IndiaのAbhay Kailasia氏（@abhay_kailasia）のご協力に感謝いたします。

Status Bar

Lakshmi Narain College of Technology Bhopal IndiaのAbhay Kailasia氏（@abhay_kailasia）、Andr.Ess氏のご協力に感謝いたします。

Swift

Marc Schoenefeld理学博士（Dr. rer. nat.）のご協力に感謝いたします。

Time Zone

LNCT BhopalおよびC-DAC Thiruvananthapuram IndiaのAbhay Kailasia氏（@abhay_kailasia）のご協力に感謝いたします。

WebKit

Hafiizh氏のご協力に感謝いたします。

WindowServer

Felix Kratz氏のご協力に感謝いたします。

Apple が製造していない製品に関する情報や、Apple が管理または検証していない個々の Web サイトについては、推奨や承認なしで提供されています。Apple は他社の Web サイトや製品の選択、性能、使用に関しては一切責任を負いません。Apple は他社の Web サイトの正確性や信頼性についてはいかなる表明もいたしません。詳しくは各メーカーや開発元にお問い合わせください。

公開日： 2025 年 02 月 01 日