93← Home

CVE-2024-27834: Apple複数製品の不正な認証脆弱性

見出し： Apple — Multiple Products · 6件の出典から作成

CISAは「積極的な悪用の証拠に基づいて」、既知の悪用された脆弱性（KEV）カタログに1つの新しい脆弱性を追加したと述べています[1]

Rescanaによると、CISAはAppleプラットフォームのWebKit欠陥であるCVE-2024-27834をKEVカタログに2026年11月4日に追加し、連邦機関は2026年11月18日までにこれを修正するよう求めました[2]。The Hacker Newsは、この欠陥を既にシステムへの任意の読み書き機能を持つ攻撃者がポインタ認証をバイパスできる可能性のある不正な認証バグ（CSSスコア：5.5）と説明しています[3]。同メディアはAppleが2024年5月にiOSおよびiPadOS 16.7.8および17.5、macOS Sonoma 14.5、tvOS 17.5、watchOS 10.5、Safari 17.5で修正したと報じています[3]。さらに、このバグは2024年3月のPwn2Own Vancouverハッキングコンテストで初めてゼロデイとして示されたと付け加えています[3]。The Hacker Newsは、KEVリスティングが脅威行為者がロシアとの関連の可能性がありSafariとGoogle Chromeの既にパッチされた欠陥を悪用したというSekoia報告に続くものであると述べています[3]。BleepingComputerはSekoia がこの操作をAPT29（別名Midnight Blizzard）に中程度から高程度の信頼度で属すると述べたと報じています[4]。BleepingComputerによると、Sekoia は攻撃者がCVE-2025-43529およびCVE-2024-27834をiOS 16.7に対して使用したと述べました[4]、そしてペイロードはSafariに保存されたクッキーを対象としています[4]。Infosecurity Magazineは、キャンペーンが正当なウェブサイトの訪問者にエクスプロイトチェーンを配信し、ペイロードはユーザーのインタラクションなしにクッキー、デバイスデータ、Wi-Fiパスワードを盗むように構築されたと報じています[5]。Gulf Newsは研究者らは最新の利用可能なセキュリティアップデートを実行しているデバイスは彼らが特定したエクスプロイトチェーンから保護されていたと述べたと報じています[6]。

歌を聴くCritical CVEs (1 of 3) — November 05, 2026

出典

  1. [1]CISA Adds One Known Exploited Vulnerability to Catalog | CISA
  2. [2]Apple CVE-2024-27834: Pointer Authentication Bypass Added to CISA KEV — What to Check – Rescana
  3. [3]Hackers Exploit Patched Apple Flaw to Deliver Info-Stealing Malware, CISA Says
  4. [4]Hackers use n-day exploits in zero-click attacks on iOS, Android devices
  5. [5]APT29 Watering Holes Target Unpatched iPhones and Android Devices - Infosecurity Magazine
  6. [6]Hackers target iPhone, Android users through compromised websites

どの文も、名前を挙げた報道機関の内容をリンク付きで伝えています。下記の報道をもとに93が作成しました。

英語版から翻訳しました。引用は元の報道にリンクしています。

このトピックの日ごとの流れ

CVE-2024-27834: Apple複数製品の不正な認証脆弱性 | 93