JVNDB-2015-003397

Apple iOS および Apple OS X 上で稼動する Apple Safari などで使用される WebKit の Storage 機能における任意のコードを実行される脆弱性

Apple iOS および Apple OS X 上で稼動する Apple Safari などで使用される WebKit の Storage 機能の SQLite authorizer は、SQL 機能へのアクセスを適切に制限しないため、任意のコードを実行される、またはサービス運用妨害 (アプリケーションクラッシュ) 状態にされる脆弱性が存在します。

アップル

• Safari 6.2.7 未満 (OS X Mountain Lion v10.8.5)
• Safari 6.2.7 未満 (OS X Mavericks v10.9.5)
• Safari 6.2.7 未満 (OS X Yosemite v10.10.3)
• Safari 7.1.7 未満 (OS X Mountain Lion v10.8.5)
• Safari 7.1.7 未満 (OS X Mavericks v10.9.5)
• Safari 7.1.7 未満 (OS X Yosemite v10.10.3)
• Safari 8.0.7 未満 (OS X Mountain Lion v10.8.5)
• Safari 8.0.7 未満 (OS X Mavericks v10.9.5)
• Safari 8.0.7 未満 (OS X Yosemite v10.10.3)
• iOS 8.4 (iPhone 4s 以降)
• iOS 8.4 (iPod touch 第 5 世代以降)
• iOS 8.4 (iPad 2 以降)

上記以外の Webkit を利用する他の製品も影響を受ける可能性があります。

第三者により、巧妙に細工された Web サイトを介して、任意のコードを実行される、またはサービス運用妨害 (アプリケーションクラッシュ) 状態にされる可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

アップル

• Apple Mailing Lists : APPLE-SA-2015-06-30-1 iOS 8.4
• Apple Mailing Lists : APPLE-SA-2015-06-30-4 Safari 8.0.7, Safari 7.1.7, and Safari 6.2.7
• Apple Security Updates : HT204941
• Apple Security Updates : HT204950
• Apple セキュリティアップデート : HT204941
• Apple セキュリティアップデート : HT204950

1. 認可・権限・アクセス制御(CWE-264) [NVD評価]

1. CVE-2015-3659

1. National Vulnerability Database (NVD) : CVE-2015-3659

• [2015年07月08日]
    掲載