「脆弱ぜいじゃく性せい」の悪用あくようが深刻しんこく化か　“あのブラウザ”や“あのGPU”も標的ひょうてきに：「スパイウェア」「脆弱ぜいじゃく性せい悪用あくよう」がもたらす脅威きょうい【後編こうへん】

IT製品せいひんに潜ひそむ「脆弱ぜいじゃく性せい」を狙ねらった攻撃こうげきが広ひろがっている。攻撃こうげき者しゃが主おもに狙ねらうのは“人気にんき製品せいひん”の脆弱ぜいじゃく性せいだ。どのようなIT製品せいひんの脆弱ぜいじゃく性せいを悪用あくようしているのか。脆弱ぜいじゃく性せいを悪用あくようした攻撃こうげきの実態じったいとは。詳細しょうさいを見みてみよう。

≫ 2023年ねん07月がつ15日にち 08時じ15分ふん公開こうかい

[Arielle Waldman，TechTarget]

　Googleの脅威きょうい分析ぶんせき部隊ぶたいThreat Analysis Group（TAG）は、同社どうしゃの「Android」やAppleの「iOS」といったモバイルOSの脆弱ぜいじゃく（ぜいじゃく）性せいの悪用あくようが活発かっぱつ化かしていると説明せつめいする。攻撃こうげき者しゃは他ほかにもWebブラウザやドライバといった、さまざまなIT製品せいひんの脆弱ぜいじゃく性せいを悪用あくようし、攻撃こうげきを仕掛しかけている。これまでどのような脆弱ぜいじゃく性せい悪用あくよう攻撃こうげきがあったのか。

“あの人気にんきブラウザ”も標的ひょうてきに　攻撃こうげきの手口てぐちと対処たいしょ法ほうは

併あわせて読よみたいお薦すすめ記事きじ

連載れんさい：「スパイウェア」「脆弱ぜいじゃく性せい悪用あくよう」がもたらす脅威きょうい

前編ぜんぺん：そのiPhoneは監かん視しされていた――Googleが語かたる「スパイウェア」の背筋せすじが凍こおる実態じったい

脆弱ぜいじゃく性せいによるリスクを理解りかいするには

　2022年ねん12月にTAGが観測かんそくした一連いちれんの攻撃こうげき（攻撃こうげきキャンペーン）は、Samsung ElectronicsのWebブラウザ「Samsung Internet Browser」（Galaxyブラウザ）の脆弱ぜいじゃく性せいを悪用あくようし、アラブ首長しゅちょう国こく連邦れんぽう（UAE）内ないのデバイスを標的ひょうてきとしていた。Googleのセキュリティエンジニアであり、TAGのメンバーであるクレメント・レシーニュ氏しによると、攻撃こうげき者しゃはプログラミング言語げんご「C++」で書かかれたスパイウェア群ぐんを使つかい、標的ひょうてきデバイスのデータの解読かいどくと盗難とうなんを目指めざしていた。

　攻撃こうげき者しゃがこの攻撃こうげきキャンペーンで使用しようした脆弱ぜいじゃく性せいの一ひとつが「CVE-2022-22706」だ。CVE-2022-22706は、半導体はんどうたい設計せっけい大手おおてArmのGPU（画像がぞう処理しょりプロセッサ）「Mali」のドライバの脆弱ぜいじゃく性せいで、標的ひょうてきデバイスへの不正ふせいアクセスを可能かのうにする。CVE-2022-22706についてはGoogleが2022年ねん12月にArmに報告ほうこくし、2023年ねん1月がつにArmが修正しゅうせいしたという。

　GoogleのWebブラウザ「Chrome」に存在そんざいしていた脆弱ぜいじゃく性せい「CVE-2022-3038」も、この攻撃こうげきキャンペーンで攻撃こうげき者しゃが使用しようした。TAGによると、Googleは2022年ねん8月がつにCVE-2022-3038を修正しゅうせいしたものの、標的ひょうてきデバイスではパッチ（修正しゅうせいプログラム）が適用てきようされていなかった。

　TAGは2022年ねん11月、イタリアやカザフスタン、マレーシアで、AndroidとiOSのデバイスを狙ねらった攻撃こうげきを観測かんそくした。この攻撃こうげきで、攻撃こうげき者しゃが積極せっきょく的てきに悪用あくようした脆弱ぜいじゃく性せいは以下いかの通とおりだという。

オープンソースのWebブラウザ「Chromium」のゼロデイ脆弱ぜいじゃく性せい（パッチ未み提供ていきょうの脆弱ぜいじゃく性せい）「CVE-2022-4135」（Googleが2022年ねん11月に修正しゅうせい）
オープンソースのHTMLレンダリングエンジン「WebKit」に対たいして、任意にんいのプログラム実行じっこうを可能かのうにする脆弱ぜいじゃく性せい「CVE-2022-42856」（Appleが2022年ねん3月がつに修正しゅうせい）

　TAGは脆弱ぜいじゃく性せい対策たいさくにおいて、ユーザー企業きぎょうによるパッチ適用てきようの重要じゅうよう性せいを強調きょうちょうする。「パッチ適用てきようは、脆弱ぜいじゃく性せい悪用あくよう攻撃こうげきに対抗たいこうするための最もっとも有効ゆうこうな方法ほうほうだ」とレシーニュ氏しは述のべる。