AirDropが周囲のiPhoneをフリーズさせるiOSのバグを発見

Apple（アップル）はiOS 13.3アップデートをリリースし、AirDropが近くにあるiPhoneとiPadをアクセス不可能な状態にロックしてしまうというバグを修正した。

Kishan Bagaria（キシャン・バガリア）氏は、デバイス間でファイルを共有するAirDropでファイルを連続送信し続けると、BluetoothないしWi-Fiが届く範囲のiOSデバイスをロックできることを発見した。これらのiPhoneとiPadはまったく使用できなくなってしまう。

ファイルの受け取りを求めるリクエストを受信すると、iPhoneやiPadは承認ないし拒否されるまでデバイスをロックする。ところがそれらの端末は一定時間内のリクエスト受け取り回数に上限を設けていなかったため、攻撃者が連続してファイルを送信し続けると受け取る側のiOSデバイスはループに陥って機能を停止してしまう。

同氏はオープンソースのツールを使ってファイルを連続送信する短いプログラムを組み、AirDropが利用可能な範囲にあり、「すべての人（Everyone）」からファイルを受け取る設定にしてあるiOSデバイスを繰り返しロックすることに成功した。

バガリア氏はこのバグをAirDoSと名付けた。DoSとは「サービス拒否（Denial-of-Service）」という意味で、サービスに対して意図的に過剰な負荷をかけるなどの方法によってコンピュータの能力を奪おうとする攻撃を指す。

AirDropの設定で送信者を「すべての人」にしている場合、この攻撃を受けるリスクがある。Bluetoothをオフにすれば防げるが、同氏によればファイル受信ボックスは即座に復活するので、攻撃が実行されている最中にBluetoothをオフにするのは不可能に近いという。

実は攻撃から逃れる簡単な方法がある。「単にその場所から逃げればいい。攻撃者からの通信が届く範囲から出れば攻撃は無効になる」という。そうなればBluetoothをオフにできる。「飛行機の中だと難しいかもしれない」とバガリア氏はジョークを飛ばした。

アップルはAirDropで一定時間内にファイル送信リクエストを送れる回数に上限を設けるパッチをリリースし、AirDoS攻撃を不可能にした。ただし同社は「機密情報をリークするなどのセキュリティ上の脆弱性とはいえない」としてCVE（Common Vulnerability and Exposure、脆弱性データベース）への登録はしないというが、iOS 13.3のセキュリティの解説でこのバグが存在したことを認めている。

画像：Getty Images

［原文へ］

（翻訳：滑川海彦@Facebook）