Apple では、ユーザ保護の観点から、調査が終了してパッチやリリースが公開されるまでは、セキュリティ上の問題を公開、説明、または是認いたしません。最近のリリースについては、「Apple セキュリティアップデート」ページに一覧形式でまとめています。

セキュリティについて詳しくは、Apple 製品のセキュリティに関するページを参照してください。Apple との通信は、Apple Product Security PGP キーで暗号化できます。

Apple のセキュリティ関連の文書では、可能な場合、脆弱性の CVE-ID に言及しています。

2018 年 6 月 1 日リリース

Accessibility Framework

対象 OS：macOS High Sierra 10.13.4

影響：悪意のあるアプリケーションにシステム権限を取得され、任意のコードを実行される可能性がある。

説明：Accessibility Framework に情報漏洩の脆弱性がありました。この問題はメモリ管理を改善することで解決されました。

CVE-2018-4196：Trend Micro の Zero Day Initiative に協力する G. Geshev 氏、匿名の研究者

AMD

対象 OS：macOS High Sierra 10.13.4

影響：ローカルユーザがカーネルメモリを読み取れる場合がある。

説明：領域外読み込みの脆弱性があり、これを悪用されると、カーネルメモリが漏洩する可能性がありました。この問題は、入力検証を強化することで解決されました。

CVE-2018-4253：Qihoo 360 Nirvan Team の shrek_wzw 氏

apache_mod_php

対象 OS：macOS High Sierra 10.13.4

影響：php の脆弱性に今回のアップデートで対処。

説明：この問題は、php バージョン 7.1.16 にアップデートすることで解決されました。

CVE-2018-7584：南洋理工大学の Wei Lei 氏および Liu Yang 氏

ATS

対象 OS：macOS High Sierra 10.13.4

影響：悪意のあるアプリケーションに権限を昇格される可能性がある。

説明：メモリ処理を強化し、型の取り違え (type confusion) の脆弱性に対処しました。

CVE-2018-4219：Mohamed Ghannam 氏 (@_simo36)

Bluetooth

対象 OS：OS X El Capitan 10.11.6、macOS Sierra 10.12.6

影響：悪意のあるアプリケーションが、カーネルメモリのレイアウトを判断できる可能性がある。

説明：デバイスのプロパティに情報漏洩の脆弱性がありました。この問題は、オブジェクト管理を改善することで解決されました。

CVE-2018-4171：Qihoo 360 Nirvan Team の shrek_wzw 氏

ファームウェア

対象 OS：macOS High Sierra 10.13.4

影響：悪意のあるアプリケーションに root 権限を取得され、EFI フラッシュメモリのリージョンを改変される可能性がある。

説明：デバイス構成の脆弱性に、構成をアップデートすることで対処しました。

CVE-2018-4251：Maxim Goryachy 氏および Mark Ermolov 氏

FontParser

対象 OS：OS X El Capitan 10.11.6、macOS Sierra 10.12.6、macOS High Sierra 10.13.4

影響：悪意を持って作成されたフォントファイルを処理すると、任意のコードが実行される可能性がある。

説明：検証を強化し、メモリ破損の脆弱性に対処しました。

CVE-2018-4211：Qihoo 360 Nirvan Team の Proteas 氏

Grand Central Dispatch

対象 OS：macOS High Sierra 10.13.4

影響：サンドボックス化されたプロセスが、サンドボックスの制約を回避できる可能性がある。

説明：エンタイトルメントの plist の解析に脆弱性がありました。入力検証を強化し、この脆弱性に対処しました。

CVE-2018-4229：ハンブルク大学 Security in Distributed Systems Group の Jakob Rieck 氏 (@0xdead10cc)

グラフィックドライバ

対象 OS：OS X El Capitan 10.11.6、macOS Sierra 10.12.6、macOS High Sierra 10.13.4

影響：アプリケーションが、制限されたメモリを読み取れる可能性がある。

説明：入力のサニタイズ処理を強化し、検証の脆弱性に対処しました。

CVE-2018-4159：Qihoo 360 の IceSword Lab の Axis 氏および pjf 氏

ハイパーバイザ

対象 OS：macOS High Sierra 10.13.4

影響：アプリケーションにカーネル権限を取得され、任意のコードを実行される可能性がある。

説明：ロック処理を強化し、メモリ破損の脆弱性に対処しました。

CVE-2018-4242：Qihoo 360 Nirvan Team の Zhuo Liang 氏

iBooks

対象 OS：macOS High Sierra 10.13.4

影響：ネットワーク上の特権的な地位を悪用した攻撃者に、iBooks のパスワードプロンプトを偽装される可能性がある。

説明：入力検証を強化し、入力検証の脆弱性に対処しました。

CVE-2018-4202：Jerry Decime 氏

Intel Graphics Driver

対象 OS：macOS High Sierra 10.13.4

影響：アプリケーションが、制限されたメモリを読み取れる可能性がある。

説明：入力のサニタイズ処理を強化し、検証の脆弱性に対処しました。

CVE-2018-4141：匿名の研究者、Qihoo 360 Vulcan Team の Zhao Qixun 氏 (@S0rryMybad)

IOFireWireAVC

対象 OS：macOS High Sierra 10.13.4

影響：アプリケーションにカーネル権限を取得され、任意のコードを実行される可能性がある。

説明：ロック処理を強化することで、競合状態の脆弱性に対処しました。

CVE-2018-4228：Mentor Graphics の Benjamin Gnahm 氏 (@mitp0sh)

IOGraphics

対象 OS：macOS High Sierra 10.13.4

影響：アプリケーションにカーネル権限を取得され、任意のコードを実行される可能性がある。

説明：メモリ処理を強化し、メモリ破損の脆弱性に対処しました。

CVE-2018-4236：Qihoo 360 Vulcan Team の Zhao Qixun 氏 (@S0rryMybad)

IOHIDFamily

対象 OS：macOS High Sierra 10.13.4

影響：アプリケーションにカーネル権限を取得され、任意のコードを実行される可能性がある。

説明：メモリ処理を強化し、メモリ破損の脆弱性に対処しました。

CVE-2018-4234：Qihoo 360 Nirvan Team の Proteas 氏

カーネル

対象 OS：OS X El Capitan 10.11.6、macOS Sierra 10.12.6、macOS High Sierra 10.13.4

影響：ネットワーク上で特権的な地位を悪用した攻撃者から、サービス運用妨害を受ける可能性がある。

説明：検証を強化し、サービス運用妨害の脆弱性に対処しました。

CVE-2018-4249：Semmle Ltd. の Kevin Backhouse 氏

カーネル

対象 OS：OS X El Capitan 10.11.6、macOS Sierra 10.12.6

影響：悪意のあるアプリケーションにカーネル権限を取得され、任意のコードを実行される可能性がある。

説明：状況によって、一部のオペレーティングシステムでは、所定の命令の後に、Intel アーキテクチャのデバッグ例外が予期されていなかったり、適切に処理されなかったりする場合があります。この問題は、文書化されていない、命令の副作用が原因だと考えられます。攻撃者がこの例外処理を悪用し、リング 0 へのアクセスを取得し、重要なメモリにアクセスしたり、オペレーティングシステムプロセスを制御したりする可能性があります。

CVE-2018-8897：Andy Lutomirski 氏、Everdox Tech LLC の Nick Peterson 氏 (linkedin.com/in/everdox)

カーネル

対象 OS：macOS High Sierra 10.13.4

影響：アプリケーションにカーネル権限を取得され、任意のコードを実行される可能性がある。

説明：配列境界チェック機能を改善することで、バッファオーバーフローに対処しました。

CVE-2018-4241：Google Project Zero の Ian Beer 氏

CVE-2018-4243：Google Project Zero の Ian Beer 氏

libxpc

対象 OS：macOS High Sierra 10.13.4

影響：アプリケーションに、昇格した権限を取得される可能性がある。

説明：検証を強化し、ロジックの脆弱性に対処しました。

CVE-2018-4237：Trend Micro の Zero Day Initiative に協力する Samuel Groß 氏 (@5aelo)

メール

対象 OS：macOS High Sierra 10.13.4

影響：攻撃者が、S/MIME で暗号化されたメールの内容を密かに抽出できる可能性がある。

説明：暗号化されたメールの処理に脆弱性がありました。この問題は、メール App で MIME の分離を改善することで解決されました。

CVE-2018-4227：ミュンヘン応用科学大学 (Münster University of Applied Sciences) の Damian Poddebniak 氏、ミュンヘン応用科学大学の Christian Dresen 氏、ルール大学ボーフムの Jens Müller 氏、ミュンヘン応用科学大学の Fabian Ising 氏、ミュンヘン応用科学大学の Sebastian Schinzel 氏、KU Leuven の Simon Friedberger 氏、ルール大学ボーフムの Juraj Somorovsky 氏、ルール大学ボーフムの Jörg Schwenk 氏

メッセージ

対象 OS：macOS High Sierra 10.13.4

影響：ローカルユーザが、なりすまし攻撃を実行できる可能性がある。

説明：入力検証を強化し、インジェクションの脆弱性に対処しました。

CVE-2018-4235：Salesforce.com の Anurodh Pokharel 氏

メッセージ

対象 OS：macOS High Sierra 10.13.4

影響：悪意を持って作成されたメッセージを処理すると、サービス運用妨害を受ける可能性がある。

説明：この問題は、メッセージの検証を強化することで解決されました。

CVE-2018-4240：PrimeFort Pvt. Ltd の Sriram 氏 (@Sri_Hxor)

NVIDIA グラフィックスドライバ

対象 OS：macOS High Sierra 10.13.4

影響：アプリケーションにカーネル権限を取得され、任意のコードを実行される可能性がある。

説明：ロック処理を強化することで、競合状態の脆弱性に対処しました。

CVE-2018-4230：Google Project Zero の Ian Beer 氏

セキュリティ

対象 OS：macOS High Sierra 10.13.4

影響：悪意のある Web サイトにより、クライアント証明書を利用してユーザを追跡される可能性がある。

説明：S-MIME 証明書の処理に脆弱性がありました。この問題は、S-MIME 証明書の検証を強化することで解決されました。

CVE-2018-4221：ミュンヘン応用科学大学 (Münster University of Applied Sciences) の Damian Poddebniak 氏、ミュンヘン応用科学大学の Christian Dresen 氏、ルール大学ボーフムの Jens Müller 氏、ミュンヘン応用科学大学の Fabian Ising 氏、ミュンヘン応用科学大学の Sebastian Schinzel 氏、KU Leuven の Simon Friedberger 氏、ルール大学ボーフムの Juraj Somorovsky 氏、ルール大学ボーフムの Jörg Schwenk 氏

セキュリティ

対象 OS：macOS High Sierra 10.13.4

影響：ローカルのユーザが、永続的なアカウント識別子を読み取れる可能性がある。

説明：ステート管理を改善し、認証の脆弱性に対処しました。

CVE-2018-4223：Abraham Masri 氏 (@cheesecakeufo)

セキュリティ

対象 OS：macOS High Sierra 10.13.4

影響：ローカルのユーザが、永続的なデバイス識別子を読み取れる可能性がある。

説明：ステート管理を改善し、認証の脆弱性に対処しました。

CVE-2018-4224：Abraham Masri 氏 (@cheesecakeufo)

セキュリティ

対象 OS：macOS High Sierra 10.13.4

影響：ローカルのユーザが、キーチェーンの状態を変更できる可能性がある。

説明：ステート管理を改善し、認証の脆弱性に対処しました。

CVE-2018-4225：Abraham Masri 氏 (@cheesecakeufo)

セキュリティ

対象 OS：macOS High Sierra 10.13.4

影響：ローカルユーザが、重要なユーザ情報を閲覧できる可能性がある。

説明：ステート管理を改善し、認証の脆弱性に対処しました。

CVE-2018-4226：Abraham Masri 氏 (@cheesecakeufo)

スピーチ

対象 OS：macOS High Sierra 10.13.4

影響：サンドボックス化されたプロセスが、サンドボックスの制約を回避できる可能性がある。

説明：マイクへのアクセスの処理に、サンドボックスに関する脆弱性がありました。この問題は、マイクへのアクセスの処理を改善することで解決されました。

CVE-2018-4184：ハンブルク大学 Security in Distributed Systems Group の Jakob Rieck 氏 (@0xdead10cc)

UIKit

対象 OS：macOS High Sierra 10.13.4

影響：悪意を持って作成されたテキストファイルを処理すると、サービス運用妨害を受ける可能性がある。

説明：テキストの処理における検証に脆弱性がありました。この問題は、テキストの検証を強化することで解決されました。

CVE-2018-4198：Hunter Byrnes 氏

Windows Server

対象 OS：OS X El Capitan 10.11.6、macOS Sierra 10.12.6、macOS High Sierra 10.13.4

影響：アプリケーションにシステム権限を取得され、任意のコードを実行される可能性がある。

説明：メモリ処理を強化し、メモリ破損の脆弱性に対処しました。

CVE-2018-4193：Trend Micro の Zero Day Initiative に協力する Ret2 Systems, Inc の Markus Gaasedelen 氏、Nick Burnett 氏、および Patrick Biernat 氏、Trend Micro の Zero Day Initiative に協力する Richard Zhu 氏 (fluorescence)