実環境で捕捉されたNSOグループのiPhone向けゼロクリック・ゼロデイエクスプロイト

• Appleは、iPhone、iPad、Macコンピュータ、Apple Watchを含む製品向けのアップデートを発表し、NSOグループのPegasusスパイウェアが悪用したゼロクリック脆弱性を修正
• ワシントンD.C.を拠点とする市民社会組織の個人が所有するデバイスで、Citizen LabがBLASTPASSと呼ばれる悪用を発見
• BLASTPASSは、被害者の操作なしに、最新のiOSバージョン（16.6）が動作するiPhoneを侵害でき、iMessageを通じて送信された悪意ある画像を使用
• Citizen Labは自らの発見をAppleに開示し、調査に協力したことで、この悪用チェーンに関連する2件のCVE（CVE-2023-41064およびCVE-2023-41061）が発行
• ユーザーには、直ちにデバイスを更新し、この特定の攻撃を防ぐことが知られているLockdown Modeの有効化を検討するよう勧告
• BLASTPASSの発見は、複雑なサイバー脅威に対する早期警戒システムとしてしばしば機能する市民社会組織を支援することの重要性を強調
• Appleのアップデートは、一般ユーザー、企業、そして世界中の政府のデバイスを安全に保護することになる

[GN⁺]

Hacker Newsの意見

• NSOグループのiPhone向けゼロクリック・ゼロデイエクスプロイトに関する記事の議論
• 一部のユーザーは、Lockdownモードがバッテリー節約などの潜在的な利点を持つにもかかわらず、直接的な危険にさらされているユーザーにのみ推奨されている点が興味深いと考えている
• 今回のエクスプロイトには画像デコードにおけるバッファオーバーフローが含まれており、これは2021年の以前のエクスプロイトと似ている
• iMessageに存在するエクスプロイトの多さへの懸念と、新しい連絡先からの最初のメッセージをプレーンテキストに制限し、他のメッセージも非常に限定されたサブセットに制限すべきだという提案がある
• エクスプロイトの修正は発表と同日にリリースされており、ユーザーに更新を適用するよう促す記事への言及がある
• 一部のユーザーは、NSOグループを商務省のブラックリストに載せるだけでは不十分で、より厳しい処罰を受けるべきだと考えている
• Lockdownモードが今回の攻撃を防げたのか、またゼロデイ脆弱性を悪用したハッキング攻撃を受けたことがあるのかについての推測がある
• NSOはサイバーテロ集団に指定されるべきだという提案とともに、被害者（AppleのiMessageとそのユーザー）ではなく加害者（NSOとそのユーザー）に対して批判が向けられることが多い点に、一部のユーザーは驚きを示している
• 記事では、iOS 16.6.1が実際に活発に悪用されている2件の脆弱性を修正することに関する進行中のスレッドに触れている
• 一部のユーザーは、アップデートの頻度とエクスプロイトの可能性を踏まえ、Androidスマートフォンのセキュリティについて懸念を示している
• Appleに、この種のエクスプロイトの被害者を検知し、セキュリティ修正が公開された際にユーザーへ通知する方法があるのかという疑問がある