CVE-2021-30860

CVE-2021-30860（FORCEDENTRY）は、MacOS、iOS、WatchOSにおける既知の脆弱性です。この脆弱性により、「悪意を持って細工されたPDF」を被害者のデバイスに送信することで、任意のコード実行が可能になります。

この脆弱性は、2021年9月13日にAppleによって次のバージョンで修正されました。

• iOS 14.8
• OSX Big Sur 11.6、Security Update 2021-005 Catalina
• WatchOS 7.6.2

しかし、2021年2月以降、実際に悪用されていました。

目的

MacOSコンピュータまたはiPhone（Macへのローカルバックアップをスキャンすることによる）における過去の悪用の痕跡を検出すること。 これは、将来の攻撃を防御したり、過去の攻撃の影響を元に戻したりすることを意図していません。また、Apple WatchやiPadにおける過去の悪用を検出することを意図していません。

手法

ここでは、過去の悪用の痕跡を検出するために、2つの異なる手法が用いられています。

初期攻撃の証拠

この脆弱性を利用したよく知られた攻撃ベクターは、SMSを介して悪意のあるPDFまたはPSDファイル（GIFと誤ってラベル付けされたもの）を送信することです。ここでのスクリプトは、MacまたはiPhoneのバックアップに含まれる受信メッセージの添付ファイルをスキャンし、ファイルシグネチャがGIFと一致しない「.gif」ファイルを検出します。ファイルを受信したこと自体が必ずしもデバイスが侵害されたことを意味するわけではないことに注意が必要です。特に、デバイスにセキュリティアップデートがインストールされた後にファイルを受信した場合はなおさらです。

不完全なクリーンアップ

NSO Groupがこの脆弱性を利用して実行した攻撃では、クリーンアップフェーズに少なくとも1つのバグがありました。特定のSQLデータベースに不整合として痕跡がiPhone上に残ります。Citizenlabは、このデータベースに対する単純なSQLクエリで関連する不整合を検出できることを示しました。

必要条件

すべてのスキャンに必要なもの