ソフトウェア「バグブローカー」Zerodium、供給過剰のためiOSエクスプロイトの購入を停止

マイク・ピーターソンのプロフィール写真マイク・ピーターソン

2020年5月14日（木）午前10時09分（東部夏時間）· 1分で読めます

Zerodium は、ほとんどの一般的なオペレーティングシステムのエクスプロイトとバグの有名なブローカーです。

ハッカーからソフトウェアのセキュリティバグやエクスプロイトを購入している民間企業は、保有するエクスプロイトが多すぎるため、数種類のiOSエクスプロイトの開発者への報酬支払いを停止すると発表した。

Zerodiumは、サードパーティのセキュリティ研究者からエクスプロイトを入手し、報酬を得ることで知られるサイバーセキュリティ企業です。多くの場合、Zerodiumの支払額はAppleの公式バグ報奨金プログラムをはるかに上回っています。

Apple iOS LPE、Safari RCE、またはサンドボックスエスケープに関する申請件数が急増しているため、今後2～3ヶ月間は、これらのベクトルを介した新たな攻撃は取得しません。
永続性のないiOSワンクリックチェーン（Safari経由など）の価格は、近い将来に下落する可能性があります。
— ゼロジウム（@Zerodium）2020年5月13日

同社は水曜日、多数の申請があったため、今後2～3ヶ月間はローカル権限昇格、リモートコード実行、サンドボックス脱出の脆弱性の取得を一時停止すると発表した。さらに同社は、iOS Safariのワンクリック脆弱性に関する特定の種類の価格が近い将来に下がる可能性があると述べた。

その後のツイートで、Zerodiumの創設者Chaouki Bekrar氏は、iOSのセキュリティは「最悪だ」と述べ、永続性の欠如とポインタ認証コードと呼ばれるセキュリティメカニズムだけがiOSのセキュリティが「ゼロになる」のを防いでいると付け加えた。

iOSのセキュリティは最悪だ。PACと非永続性だけがセキュリティをゼロに近づけないようにしている…しかし、PACを回避するエクスプロイトが多数確認されており、全てのiPhone/iPadで動作する永続性エクスプロイト（ゼロデイ）もいくつか存在する。iOS 14で改善されることを期待しよう。https://t.co/39Kd3OQwy1
— Chaouki Bekrar (@cBekrar) 2020年5月13日

その理由の一部は、世界的なロックダウンと、セキュリティ研究者の時間に余裕ができたことが考えられます。また、iOS 13に異常なほど多くのバグがあったことも要因の一つかもしれません。このバグが、Appleのソフトウェア責任者であるクレイグ・フェデリギ氏が次期iOSの開発プロセスを全面的に見直すきっかけとなりました。

「iOS 14がさらに良くなることを期待しましょう」とベクラー氏は語った。

ZerodiumがiOSのエクスプロイトの提出過多に直面するのは今回が初めてではない。2019年9月、同社は供給過剰を理由に、初めてAndroidのエクスプロイトに対してiOSのエクスプロイトよりも高い報酬を支払うと発表した。