Google、Androidの月例セキュリティ情報を公開 深刻な脆弱性が多数存在
「Mediaserver」などの脆弱性を悪用されると、メールやWeb閲覧、MMSなどを介してメディアファイルが処理された際に、リモートでコードを実行される恐れがある。
米Googleは4月4日、Androidの脆弱性に関する月例セキュリティ情報を公開し、Nexus向けのセキュリティアップデートをOTA(無線経由)で配信した。パートナー各社には3月16日までに通知され、セキュリティパッチレベル2016年4月2日以降のAndroidで脆弱性を修正している。
Nexusのセキュリティ情報によると、今回のアップデートでは計29項目の脆弱性に対処した。このうち危険度がGoogleの4段階評価で最も高い「Critical」に分類されている8項目(15件)の脆弱性は、「Media Codec」「Mediaserver」「libstagefright」などメディア処理に関連するものが多数を占める。
こうした脆弱性を悪用されると、メールやWeb閲覧、MMSなどを介してメディアファイルが処理された際に、リモートでコードを実行される恐れがある。現時点でユーザーを狙った攻撃の発生は確認されていないという。
他にも「DHCPCD」「Qualcomm Performance Module」「Qualcomm RF Component」およびカーネルに存在する脆弱性が、それぞれCriticalに分類されている。
そのうちの1件(CVE-2015-1805)はアプリケーションのroot化に利用されていたもので、この脆弱性を突いて特権を取得するアプリがGoogle Playで出回ったことから、Googleは3月18日に緊急パッチを公開して対処していた。
関連記事
- Androidのroot化アプリがGoogle Playに、Googleは脆弱性に対処
Androidカーネルの脆弱性を突いて、Google Playで禁止されているroot化アプリが出回っていたことが分かった。 - Google、脆弱性発見者への最高賞金を倍増に
脆弱性を発見した研究者に支払う賞金の最高額を、これまでの5万ドルから10万ドルに引き上げる。 - Androidに「Stagefright 2.0」の脆弱性、また10億台に影響
細工を施したMP3やMP4を使って任意のコードを実行される恐れがある。影響はバージョン5(Lollipop)までのAndroidを搭載した10億台あまりの端末に及ぶと伝えられている。 - Androidにまた深刻な脆弱性が発覚、端末を制御される恐れ
脆弱性を悪用された場合、「何の権限もない悪質アプリが『スーパーアプリ』と化し、端末を制御される恐れがある」という。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.