Google、Nexus向け月例パッチ公開 Androidの脆弱性を修正

7件の脆弱性のうち2件は、電子メールやWebブラウザ、MMSなどを使ってメディアファイルを処理させることによって、リモートでコードを実行される恐れがある。

[鈴木聖子，ITmedia]

　米Googleは11月2日、Androidの脆弱性を修正する月例セキュリティアップデートをNexus向けにOTA（無線経由）で配信した。開発者サイトではNexusファームウェアイメージを公開。パートナー向けのソースコードパッチはAndroid Open Source Project（AOSP）レポジトリで公開する。

　Nexusのセキュリティ情報によると、今回のアップデートでは7件の脆弱性を修正した。このうち「Mediaserver」と「libutils」に存在する2件の脆弱性は、危険度が最も高い「Critical」に分類されている。

定例パッチで対処した脆弱性

　悪用された場合、電子メールやWebブラウザ、MMSなどを使ってメディアファイルを処理させることによって、リモートでコードを実行される恐れがある。現時点で実際に悪用されたという報告は入っていないという。

危険度が最も高い「Mediaserver」関連の脆弱性

　他にもMediaserverの情報流出の脆弱性や、過去にも深刻な問題が発覚・修正された「libstagefright」の権限昇格の脆弱性などが修正された。

　回避策としては、「SafetyNet」のようなセキュリティサービスを利用すれば、脆弱性を悪用される可能性を低減できると指摘。Androidはできる限り最新バージョンに更新するよう促している。