Google、Androidの月例セキュリティ情報を公開 深刻な脆弱性が多数存在

「Mediaserver」などの脆弱性を悪用されると、メールやWeb閲覧、MMSなどを介してメディアファイルが処理された際に、リモートでコードを実行される恐れがある。

[鈴木聖子，ITmedia]

　米Googleは4月4日、Androidの脆弱性に関する月例セキュリティ情報を公開し、Nexus向けのセキュリティアップデートをOTA（無線経由）で配信した。パートナー各社には3月16日までに通知され、セキュリティパッチレベル2016年4月2日以降のAndroidで脆弱性を修正している。

2016年4月パッチで修正された脆弱性

　Nexusのセキュリティ情報によると、今回のアップデートでは計29項目の脆弱性に対処した。このうち危険度がGoogleの4段階評価で最も高い「Critical」に分類されている8項目（15件）の脆弱性は、「Media Codec」「Mediaserver」「libstagefright」などメディア処理に関連するものが多数を占める。

　こうした脆弱性を悪用されると、メールやWeb閲覧、MMSなどを介してメディアファイルが処理された際に、リモートでコードを実行される恐れがある。現時点でユーザーを狙った攻撃の発生は確認されていないという。

　他にも「DHCPCD」「Qualcomm Performance Module」「Qualcomm RF Component」およびカーネルに存在する脆弱性が、それぞれCriticalに分類されている。

　そのうちの1件（CVE-2015-1805）はアプリケーションのroot化に利用されていたもので、この脆弱性を突いて特権を取得するアプリがGoogle Playで出回ったことから、Googleは3月18日に緊急パッチを公開して対処していた。