iOS 15.8.5およびiPadOS 15.8.5のセキュリティアップデート内容

• iOS 15.8.5およびiPadOS 15.8.5 のセキュリティアップデートが公開された
• 悪意のある画像ファイルを処理した際 に、メモリ破損の脆弱性が報告された
• 非常に高度な攻撃 において、この脆弱性が特定の標的を狙って悪用された事例がある
• Appleは 境界チェックの強化 によって問題を修正したと説明している
• このセキュリティ脆弱性は CVE-2025-43300 として登録・追跡されている

---

概要

• 本セキュリティ案内は iOS 15.8.5 および iPadOS 15.8.5 のセキュリティ関連の内容を扱う
• Appleは顧客保護のため、調査とパッチ が完了するまでセキュリティ問題について言及または確認を行わない方針を採用している
• 最近公開されたセキュリティリリースの一覧はApple公式サイトで確認できる

対象

• 今回のアップデートは iPhone 6s（全モデル）、iPhone 7（全モデル）、iPhone SE（第1世代）、iPad Air 2、iPad mini（第4世代）、iPod touch（第7世代） に提供される

主なセキュリティ問題と内容

• 影響範囲: 悪意を持って細工された画像ファイルを処理すると、メモリ破損 が発生する可能性がある
• Appleは、この脆弱性が 特定の個人を狙った非常に高度な攻撃 で実際に悪用されたという報告を受けている
• 説明: 境界値の処理不備により発生する out-of-bounds write 脆弱性が発見された
• この問題は 境界チェックの強化 によって修正された
• 脆弱性は CVE-2025-43300 として登録・管理されている

その他の参考事項

• Appleは、自社が製造していない製品や独立したWebサイト、サードパーティ製品およびサービスについて責任や保証を行わない
• サードパーティ製品に関する追加情報は 製造元に問い合わせる 必要がある

追加情報

• 最新のセキュリティアップデート、CVE-ID体系、Appleのセキュリティ方針などの詳細は、関連するApple公式ページで確認できる

[GN⁺]

Hacker Newsのコメント

• 最近のApple UIには否定的な意見が多いけど、本当にかなり古いPhoneまでサポートしているのは評価に値する。Google Pixelのほうではそこまでは期待できない感じ lol
  • Pixel 8以降のモデルは7年サポート。Appleには及ばないが、かなり妥当。Pixel 6〜7は5年サポートだったが、これは少し短い。本当に「lol」と言いたくなるのは2021年以前のモデルや一部のMotorolaモデルくらい
  • 自分はPixel 3XLを使っているが、最新のAndroid ROMを入れて使えばかなり快適。正直、最新の廉価Androidより良いと感じるくらい。残念なのは公式サポートが終わったこと
  • 自分のPixel XLでも夜のウェブ閲覧には十分使える。「もうシステムアップデートがない」という不安には懐疑的。実際に旧型機を使っていて、本当にセキュリティやリスクにさらされた事例があるのか、研究例や体験談を聞いてみたい
  • iPhone 12 miniのバッテリーを最近交換したが、買った当初と同じように性能が良い。いつか無理やり「アップグレード」しなければならない日が来たら残念だと思う
  • EUでは5年間のアップデートサポートが最低要件になったので、今ではAppleはGoogleやSamsungと比べても下位グループ。昔はAppleのほうが良かったかもしれないが、最近は他のメーカーのほうがより強力で、法的にも確実なサポートを約束している
• 驚くことではない。以前、業務用にSamsungと打ち合わせをして数百台のフラッグシップPhoneを購入しようとしたが、セキュリティパッチは3年だけと言われた。2019年ごろの話。一方Appleは特に打ち合わせもしていないのに、見積もりでは6年程度サポートしていた。だから投資収益率(ROI)で見ると、業務用ではiPhoneのほうが確実に長く使えた。結局、数百台のiPhoneだけを購入してAndroidは導入しなかった。個人的にはNexus S、Nexus 5を使ったことがあるが、アップデート不足やボタン故障、マイク故障などで短命だった。Sony Xperia Z5は北米の特許問題で突然指紋センサーを外したうえ、Bluetoothオーディオまで壊れて曲名も表示されなかった。こうしたことが全部3年以内に起きた。SonyのAndroid Phoneはもう二度と使わない。このあたりでカスタムROMにも疲れて、結局「iPhone, it just works」側に移った
  • 参考までに、Samsungは最近のフラッグシップで7年間のOS/セキュリティサポート、エントリー/中価格帯のGalaxy Aシリーズでも6年サポートしている
  • "it just works" なんて宣伝文句にすぎない。大多数(95%以上)が使う機能だけ使うなら問題ないが、そこから外れると何が起こるかわからないし、問題解決も難しい。閉鎖的で制限が多い。自分はAppleでは運が悪かった。仕事用に支給されたApple機器はサポート期間も短く、タッチスクリーン故障、アプリのソフトウェア問題、バッテリー不良、ホットスポット機能が中途半端など、トラブルが多かった。Androidではこうした問題はなかった。アプリが不調ならデータだけ初期化すればいいが、iOSにはそういう機能自体がなく不便。最近はAppleユーザーの友人のメールクライアントがiOSとmacOSの両方で動かなくなっている。データやOSごとに違う症状を見せるので、2か所を往復しながら90分かけて現地で見る羽目になりそう。Appleは壊れたときに自分で解決する方法があまりに限られているので、自分としては付き合いたくないベンダー。もちろん大半の機能は「ちゃんと動く」のだろうが、それはAndroidも同じで、Sonyで外れを引いたようにAppleでも悪いケースを引いたというだけ。Sonyのように問題が深刻ならOSを入れ替える選択肢があるぶん、そちらのほうが良いと思う
• 長年Androidで長期サポートが難しかった大きな理由は、Qualcommのようなモデム/SoCベンダーが数年しかドライバやソフトウェア更新を提供しないこと。2020〜2021年以前の機種ではカーネルドライバやモデム更新がほとんどない。もちろんメーカーにも統合作業の役割はあるが、結果的に3rd party ROM(例: lineageos)のサポート期限も限られる。Appleはほとんどの部品やソフトウェアをインハウスで扱っているので、柔軟に長期サポートできる
  • この主張に同意しにくいのは、セキュリティ脆弱性(CVE)のかなりの部分がモデムやベースバンドドライバなどBroadcomが管理する領域とは無関係だから。Googleは今でもライブラリやアプリのような、攻撃リスクの高い部分にはパッチを当てられる。自分はむしろ「メッセージ画像のパース」に関する脆弱性のほうが心配。これは画像をクリックするだけで攻撃され得るもので、モデム側の脆弱性よりはるかに現実的なリスクに感じる
  • その通りではあるが、結局これはAndroid自体の設計上の根本的な限界。そういう点を理由にAndroidを批判してよいと思う
  • 考えてみれば馬鹿げた話。20年前のNICですらまだLinuxカーネルでドライバサポートがあるのに、スマートフォンのハードウェアドライバはGPLで公開されるべき。クローズドドライバは結局、意図的に機器を短命化するプロセス、つまり計画的陳腐化に使われている
  • このありがちな言い訳を覆す要素は、まさに「契約」という法的手段。プロジェクト納品後も望むだけ更新を提供するよう強制できる。自分もエンタープライズコンサルティングでこうした契約を継続的に扱ってきた
  • Googleがその気になれば、契約と資金でいくらでも解決できると思う
• Appleのセキュリティ告知には「特定の標的を狙った高度な攻撃に悪用された可能性を認識している」と書かれている。こういう形で過去バージョンにもセキュリティパッチを出すのは、その脆弱性がかなり危険だというサインと見ていいのか気になる。Appleのセキュリティサポート期間の公式基準も知りたい
  • これは実際にスパイウェアキャンペーン(実運用の攻撃)で悪用された事例があるという意味。完全なエクスプロイトチェーンではWhatsApp側で2つ目の脆弱性が使われており、この脆弱性自体はAppleの標準画像処理モジュールを使う全アプリに存在するが、Appleのサンドボックス(iMessageならBlastDoor、SafariならWebコンテンツサンドボックスなど)のおかげで、追加の欠陥なしに悪用できる可能性は低い。ただしWhatsApp自体に脆弱性があるなら話は別。スパイウェア攻撃者にとってWhatsAppは最良の標的だから。参考: WhatsAppセキュリティアドバイザリ
  • ひとつ興味深い点は、今回のパッチがiPadOS分岐前の系統向けだったため、iPadも更新対象になったこと。推測だが、旧型iPadを使うPOS端末が攻撃対象だった可能性もあると思う。飲食店でPOSシステムを入れ替えるのは簡単ではないし、POSベンダーが高額請求することも多い

  • Appleの基本的なセキュリティサポート期間はどれくらい?
    実際には、ずっと昔に打ち切られたというほどではない。iOS 15の最後のセキュリティアップデートは今年初めに出たし、iOS 16からiPhone 6sが新OSサポート対象外になったのもほんの数年前。自分のようにiPhoneを5年以上使ってきた立場からすると、Androidよりずっと長くサポートしてくれるのはありがたい

  • こうしたバックポート(旧バージョン向けセキュリティパッチ)は、深刻な脆弱性を示唆していると考えていい?
    自分もそう推測している。ユーザー側では制御不能な深刻な問題(ゼロクリック)を意味するのだと思う。もちろんAppleの内部事情はわからないが、同じ考え

  • 正確な公式期間はない。本当に重要な問題ならかなり古い機種まで更新が出ることもある。たとえば以前、Square端末iPad向けのApple CA期限切れ対応アップデートもほぼ全機種向けに出していた。おそらくサポート終了時期の判断にはAppleのテレメトリ(機器状況分析)や脅威モデルが反映されている
• Appleが旧型機向けにセキュリティアップデートを出すのは興味深い。しかも今回は国家レベル(サイバー戦など)の攻撃者への防御という点で特別

  Appleは特定の標的を対象とした非常に洗練された攻撃にこの問題が悪用されたという報告を認識している

  • 国家レベルの攻撃の可能性があるなら、最新OSが入った新しいPhoneを使うべきだと思う。最新Phoneに替える費用はせいぜい数十万円程度なのだから、本当に政府系の攻撃が心配なら、5年以内に発売されたPhoneへ簡単に切り替えられるはず。十分その価値がある
  • 実際には、攻撃の難易度や国家レベルのハッキング手法が一般的な攻撃ツールへ拡散する前に先にパッチを出して、はるかに多くの一般ユーザーを守るための戦略だと思う
• 記事タイトルは少し誤解を招くと思う。まるでiPhone 6sだけが更新対象のように見えるが、実際にはiPhone 6s/7/SE第1世代、iPad Air 2、iPad mini第4世代、iPod touch第7世代まで更新できる。「10年前のiPhone 6s」だけを強調する話ではない。ちなみに自分の予備機であるiPhone 7とiPad miniは、脱獄(Jailbreak)まわりの事情があるので今すぐ更新する予定はない
  • たぶん記事では最も古い機種を代表として挙げただけだと思う。それほど大きな問題ではない
• この状況では、どう見ても国家レベル攻撃の空気を強く感じる
  • 単一の国家によるものだと推測している
• AppleがPhoneをかなり長くサポートしてくれるのは事実。ただし10年サポートというのは、iPhone 6sを発売直後に高値で買って使っていた場合に限る。iPhone 7(Plus)は2019年まで販売されていたし、OSバージョンも同じ。厳しく見れば、OSアップグレードは約3年、セキュリティパッチは6年程度ということになる
  • メーカーの販売終了時点を基準にサポート期間を測るなら、あるandroid機種ではサポート年数がマイナスになることすらあり得る。そしてその6年も「今なお」サポートされている最中だ
• Appleがアップデートを出したのは良いこと。ただ、これがリモートコード実行(RCE)まで可能なら、いまだにiPhone 6sがかなり現役で使われていて、悪意ある攻撃者が大規模攻撃を仕掛ける可能性もあるという意味なのか気になる
• 「iOS 18.6.1 0-click RCE POC」、コメント50件、関連リンク
  • 前のスレッドで触れられていなかったようなので、WhatsAppセキュリティアドバイザリもあわせて参考になる。今回のエクスプロイトはWhatsAppの問題と連動しており、悪意あるDNGデータを「ゼロクリック」でWhatsAppに読み込ませる構造のようだ。サンドボックス脱出やカーネル脆弱性まで連鎖していたのかははっきりしない。おそらくWhatsAppメッセージの窃取程度にとどまった可能性もある。通常、iOSのセキュリティ回避には複数の脆弱性をチェーン化する必要があるが、このように標的アプリ自体に脆弱性があれば攻撃はずっと容易になる