Androidの脆弱性対応は機種によってまちまち――IPAが独自調査

Android OSの脆弱性の対応についてIPAが端末の販売元に確認した結果、一部製品では約10カ月を経過しても対応できていないことが分かった。

[國谷武史，ITmedia]

　情報処理推進機構（IPA）は6月22日、「スマートフォンへの脅威と対策」と題する技術レポートを公開し、Android OSの脆弱性対応における独自調査の結果を明らかにした。脆弱性の発覚から10カ月が経過しても、一部製品で対応できていない実態が分かった。

　IPAは、今年3月に見つかったウイルス「DroidDream」が悪用するAndroidの権限昇格など2件の脆弱性（CVE-2009-1185およびCVE-2010-EASY）について、当時市販されたスマートフォン端末14機種での対応状況をサンプルコードを用いて確認した。

　その結果、3月時点では対策が完了していない機種が11機種に上ることが分かった。また、6月に販売元に対策状況を確認したところ、2機種で一部の脆弱性が解決されていないことが判明した。この2機種の販売元はIPAに対し、「今後対応予定」と回答しているという。

　IPAは、Android端末の脆弱性対策に要する時間がPCに比べて長くなると指摘。OS本体の脆弱性が修正されても、端末に実際に搭載されるOSには独自の仕様が加えられているため、機種によっては対応が完了するまでに長い時間がかかる傾向がみられると分析している。

　スマートフォンのセキュリティ対策では、5月下旬にメーカーや通信事業者、セキュリティ企業などが参加する「日本スマートフォンセキュリティフォーラム」が設立されている。IPAは事業者間での情報共有が迅速な脆弱性対応を実現するとし、関係機関との情報共有や意見交換を実施して行く方針だという。

独自調査した端末ごとの対応状況（出典：IPA、最新状況はこちらで確認できる）