ニュース

iPhoneでWPA2の脆弱性「KRACKs」が修正、iOSやmacOSの最新バージョンをリリース

tvOS/watchOSも

 Appleは10月31日、「KRACKs」とも呼ばれるWPA2/WPAの脆弱性「CVE-2017-13080」を修正したOSの最新バージョン「iOS 11.1」「tvOS 11.1」「watchOS 4.1」や、macOSの各バージョンをリリースした。

 KRACKsは、広範な無線LAN機器で利用されているWPA2/WPAにおいて、アクセスポイント接続時のハンドシェイク処理における脆弱性。クライアント(Wi-Fi子機)側のソフトウェアやファームウェアをアップデートすることで対処が可能だ。

 なお、KRACKsの脆弱性が修正されるiOS機器は、iPhone 7以降と、iPad Pro(early 2016)以降に発売されたiPadのみ。

 iOSでは、KRACKsのほか、カーネルにおいてリモートからコードを実行できる(RCE)脆弱性「CVE-2017-13799」や、ロック画面から認証を経ずに端末の一部データにアクセスできてしまうメッセージアプリ(CVE-2017-13844)とSiri(CVE-2017から13805)の脆弱性、WebKitにおける13件など、CVE番号ベースで計20件の脆弱性が修正されている。

 アップデートの対象となるのは、iPhone 5s以降、iPad第5世代以降、iPad mini 2以降、iPod touch第6世代以降。セキュリティアップデートのほか、「Unicode 10」の絵文字を70以上追加したほか、各種の不具合も修正されている。

 Appleは11月3日、iOSのセキュリティアドバイザリを更新。KRACKsにおけるCVE番号ベースで10件の脆弱性「CVE-2017-13077~13088」のうち、いずれも4-way Handshakeにおける脆弱性で、ペア暗号鍵(PTK)を再利用可能な「CVE-2017-13077」と、グループ鍵(GTK)を再利用可能な「CVE-2017-13078」の2件についての情報を追加した。

 Appleではこの2件について、iPhone X/8 Plus 8においては「利用可能(Available for)」と記載している一方、iPhone 7 Plus/7/6s Plus/6s/6 Plus/6/SE/5sと、iPad Air以降のiPad、iPod Touch第6世代以降に影響しないとしている。

 なお、KRACKsを発見したMathy Vanhoef氏が「CCS 2017」で発表した内容や、事前に公開されていた論文によれば、CVE-2017-13077/13078はiOSとWindowsには影響しないとされている。

 このほかのKRACKs脆弱性については、10月31日に発表されたセキュリティアドバイザリにおいて、iPhone 7以降とiPad Pro(early 2016)以降に発売されたiPadで「CVE-2017-13080」が修正されていることだけに触れられている。

iPhoneでWPA2の脆弱性「KRACKs」が修正、iOSやmacOSの最新バージョンをリリース

 また、tvOS 11.1では、KRACKsの1件やWebKitの13件を含むCVE番号ベースで計17件、watchOS 4.1ではKRACKsの1件を含む計4件の脆弱性が修正されている。なお、KRACKs修正の対象は、tvOSでは「Apple TV 4K」のみとなる。

iPhoneでWPA2の脆弱性「KRACKs」が修正、iOSやmacOSの最新バージョンをリリース
iPhoneでWPA2の脆弱性「KRACKs」が修正、iOSやmacOSの最新バージョンをリリース

 macOSは「High Sierra 10.13.1」、Sierra向けのセキュリティアップデート「2017-001」、同じくEl Capitan向けの「2017-004」がリリースされ、WPA2/WPAの脆弱性「CVE-2017-13077」「CVE-2017-13078」「CVE-2017-13080」の3件が修正されている。

 このほか、IEEE 802.1XにおけるTLS 1.0の脆弱性「CVE-2017-13832」や、Apacheにおける12件、tcpdumpにおける90件など、CVE番号ベースでは、High Sierraで計101件、Sierraで計145件、El Capitanで計51件の脆弱性が修正されている。

iPhoneでWPA2の脆弱性「KRACKs」が修正、iOSやmacOSの最新バージョンをリリース

 このほか、WebKitの13件を含むCVE番号ベースで計15件の脆弱性を修正したMac向けのウェブブラウザー最新版「Safari 11」、WebKitの脆弱性13件を修正した「iTunes 12.7.1 for Windows」と「iCloud for Windows 7.1」もそれぞれリリースされている。

【記事追記 13:15】
 WPA2/WPA脆弱性の修正対象となる機器についての記述を追加しました。

【記事追記 11月6日 13:20】
 WPA2/WPA脆弱性のうち、iOSにおける「CVE-2017-13077」「CVE-2017-13078」への対応に関する記述を追加しました。