イアン・ビアが2023年のBLASTPASSゼロクリックiMessageエクスプロイトの詳細な分析を公開

驚くべき展開で、Google Project Zeroのセキュリティ研究者であるIan Beer氏が今週、ソーシャルメディアプラットフォーム𝕏（旧Twitter）で、2023年9月7日にAppleがiOS & iPadOS 16.6.1で修正する前に、実際に悪用されていた0クリックNSO BLASTPASS iMessageエクスプロイトに関する詳細な記事を共有しまし^た。

当時、この脆弱性は、攻撃者が被害者に対して簡単に攻撃を仕掛けることができることから、非常に危険であると考えられていました。iPhone や iPad は、（当時の）最新ファームウェアを搭載していても、エンドユーザーからの入力が一切なく、攻撃者が iMessage 経由で悪意のある画像を含む PassKit 添付ファイルを被害者に送信するだけで侵害を受ける可能性がありました。

研究者のブログ記事では、攻撃の仕組みだけでなく、ビール氏がリバースエンジニアリングを試みた際の思考プロセスも詳しく説明されています。特にセキュリティ研究に興味がある方にとって、非常に興味深い内容です。

ブログ記事の中で、ビール氏はBLASTPASSはNSOグループがPegasusスパイウェアで使用したFORCEDENTRY 0-click iMessageエクスプロイトと類似点があるものの、2つの攻撃の仕組みは全く異なると述べています。結論として、彼は次のような結論に達しています。

これは、ファイル拡張子の名前を変更するだけで、許可されるべきではない予期しないコンテキストでパーサーにアクセスする、2 番目に発見された NSO エクスプロイトです。

FORCEDENTRY には .gif がありましたが、実際には .pdf でした。

BLASTPASS には .png がありましたが、これは実際には .webp でした。

サンドボックスの基本原則は、ファイル拡張子を単に信頼するのではなく、攻撃者が制御するすべての受信データを信頼できないものとして扱うことです。

これはサンドボックスにおけるより広範な課題を示唆しています。つまり、プロセス分離に基づく現在のアプローチでは限界があるということです。エクスプロイトチェーンの長さは長くなりますが、初期のリモート攻撃対象領域を必ずしも縮小できるわけではありません。初期のリモート攻撃対象領域を正確にマッピングし、その範囲を真に縮小することが最優先事項です。

この記事で言及されているエクスプロイトはその後Appleによって修正されましたが、サンドボックスは不完全な技術であり、すべての攻撃を防御することは不可能であり、むしろ攻撃を遅くするだけなので、同様の攻撃が今後も作り出され続ける可能性があります。もちろん、今日のソフトウェアセキュリティはどれもこのような状況であり、堅実なメーカーと、利害が対立する必死のハッカーの間で、終わりのないいたちごっこが繰り広げられています。

NSOのBLASTPASSやFORCEDENTRYのような、ゼロクリック・ゼロデイ攻撃が今後再び発生すると思いますか？ ぜひ下のコメント欄で議論してください。