ニュース

iPhoneでWPA2の脆弱性「KRACKs」が修正、iOSやmacOSの最新バージョンをリリース

tvOS/watchOSも

  • 岩崎 宰守

2017年11月1日 12:08

　Appleは10月31日、「KRACKs」とも呼ばれるWPA2/WPAの脆弱性「CVE-2017-13080」を修正したOSの最新バージョン「iOS 11.1」「tvOS 11.1」「watchOS 4.1」や、macOSの各バージョンをリリースした。

　KRACKsは、広範な無線LAN機器で利用されているWPA2/WPAにおいて、アクセスポイント接続時のハンドシェイク処理における脆弱性。クライアント（Wi-Fi子機）側のソフトウェアやファームウェアをアップデートすることで対処が可能だ。

　なお、KRACKsの脆弱性が修正されるiOS機器は、iPhone 7以降と、iPad Pro（early 2016）以降に発売されたiPadのみ。

　iOSでは、KRACKsのほか、カーネルにおいてリモートからコードを実行できる（RCE）脆弱性「CVE-2017-13799」や、ロック画面から認証を経ずに端末の一部データにアクセスできてしまうメッセージアプリ（CVE-2017-13844）とSiri（CVE-2017から13805）の脆弱性、WebKitにおける13件など、CVE番号ベースで計20件の脆弱性が修正されている。

　アップデートの対象となるのは、iPhone 5s以降、iPad第5世代以降、iPad mini 2以降、iPod touch第6世代以降。セキュリティアップデートのほか、「Unicode 10｣の絵文字を70以上追加したほか、各種の不具合も修正されている。

　Appleは11月3日、iOSのセキュリティアドバイザリを更新。KRACKsにおけるCVE番号ベースで10件の脆弱性「CVE-2017-13077～13088」のうち、いずれも4-way Handshakeにおける脆弱性で、ペア暗号鍵（PTK）を再利用可能な「CVE-2017-13077」と、グループ鍵（GTK）を再利用可能な「CVE-2017-13078」の2件についての情報を追加した。

　Appleではこの2件について、iPhone X/8 Plus 8においては「利用可能（Available for）」と記載している一方、iPhone 7 Plus/7/6s Plus/6s/6 Plus/6/SE/5sと、iPad Air以降のiPad、iPod Touch第6世代以降に影響しないとしている。

　なお、KRACKsを発見したMathy Vanhoef氏が「CCS 2017」で発表した内容や、事前に公開されていた論文によれば、CVE-2017-13077/13078はiOSとWindowsには影響しないとされている。

　このほかのKRACKs脆弱性については、10月31日に発表されたセキュリティアドバイザリにおいて、iPhone 7以降とiPad Pro（early 2016）以降に発売されたiPadで「CVE-2017-13080」が修正されていることだけに触れられている。

iPhoneでWPA2の脆弱性「KRACKs」が修正、iOSやmacOSの最新バージョンをリリース

　また、tvOS 11.1では、KRACKsの1件やWebKitの13件を含むCVE番号ベースで計17件、watchOS 4.1ではKRACKsの1件を含む計4件の脆弱性が修正されている。なお、KRACKs修正の対象は、tvOSでは「Apple TV 4K」のみとなる。

iPhoneでWPA2の脆弱性「KRACKs」が修正、iOSやmacOSの最新バージョンをリリース
iPhoneでWPA2の脆弱性「KRACKs」が修正、iOSやmacOSの最新バージョンをリリース

　macOSは「High Sierra 10.13.1」、Sierra向けのセキュリティアップデート「2017-001」、同じくEl Capitan向けの「2017-004」がリリースされ、WPA2/WPAの脆弱性「CVE-2017-13077」「CVE-2017-13078」「CVE-2017-13080」の3件が修正されている。

　このほか、IEEE 802.1XにおけるTLS 1.0の脆弱性「CVE-2017-13832」や、Apacheにおける12件、tcpdumpにおける90件など、CVE番号ベースでは、High Sierraで計101件、Sierraで計145件、El Capitanで計51件の脆弱性が修正されている。

iPhoneでWPA2の脆弱性「KRACKs」が修正、iOSやmacOSの最新バージョンをリリース

　このほか、WebKitの13件を含むCVE番号ベースで計15件の脆弱性を修正したMac向けのウェブブラウザー最新版「Safari 11」、WebKitの脆弱性13件を修正した「iTunes 12.7.1 for Windows」と「iCloud for Windows 7.1」もそれぞれリリースされている。

【記事追記 13:15】
　WPA2/WPA脆弱性の修正対象となる機器についての記述を追加しました。

【記事追記 11月6日 13:20】
　WPA2/WPA脆弱性のうち、iOSにおける「CVE-2017-13077」「CVE-2017-13078」への対応に関する記述を追加しました。

。