サムスン製5Gモデムで18件の「ゼロデイ脆弱性」が見つかる 日本では「Pixel 6」「Pixel 7」などに影響
Googleの社内セキュリティ解析チーム「Project Zero」は3月16日（米国太平洋時間）、Samsung Semiconductor（韓国Samsung Electronicsの半導体部門）製の5Gモデムの一部においてゼロデイ脆弱（ぜいじゃく）性が18件見つかったことを明らかにした。
18件のうち4件はインターネット経由でのリモートコードの実行につながる深刻な脆弱性で、対処が済んでいない端末については、セキュリティ上の観点からVoLTE（※1）とWi-Fi Calling（※2）の無効化が推奨されている。
（※1）Voice Over LTE：データ通信専用の規格であるLTEで、携帯電話としての音声通話を行うための仕組み
（※2）無線LAN（Wi-Fi）を通して携帯電話としての音声通話を行う仕組み（日本では導入キャリアなし）
見つかった脆弱性の概要
今回の18件の脆弱性は、以下の5Gモデム内蔵SoC（System-on-a-Chip）および単体5Gモデムチップで発見された。
- Exynos 850
- Exynos 980
- Exynos 1080
- Exynos 1280
- Exynos 2200
- Exynos Modem 5123
- Exynos Modem 5300
- Exynos Auto T5123
18件の脆弱性のうち7件はCVE（Common Vulnerabilities and Exposures）のコードが割り振られており、その一部はSamsung Semiconductorからもアドバイザリーが公開されている。
現時点でCVEコードが割り振られている脆弱性は以下の通りで、いずれもスコアベースでは「重大（危険）」の評価だ。ただし、Project Zeroによると、★印が付いているものはモバイルオペレーター（キャリア）が“意図的に”仕込むか、デバイスに直接アクセスできない限り攻撃を行えないため、実際の深刻性はそれほどではないという。
- CVE-2023-24033
- SDP（※3）の利用時に厳格にフォーマットを確認しないため、通信サービスへの接続を拒否されてしまう恐れがある
- CVE-2023-26072★
- 緊急通報リストのデコードを行う際に、ヒープメモリがバッファオーバーフローを起こす可能性がある
- CVE-2023-26073★
- 拡張緊急通報ナンバーリストのデコードを行う際に、ヒープメモリがバッファオーバーフローを起こす可能性がある
- CVE-2023-26074★
- オペレーター（キャリア）が定義したアクセスカテゴリーをデコードする際に、ヒープメモリがバッファオーバーフローを起こす可能性がある
- CVE-2023-26075★
- サービスエリアリストをデコードする際に、イントラオブジェクトメモリがバッファオーバーフローを起こす可能性がある
- CVE-2023-26076★
- 予約済みのオプションをデコードする際に、イントラオブジェクトメモリがバッファオーバーフローを起こす可能性がある
（※3）Session Description Protocol：音声や映像のデータをストリーミングする際に、セッションを確立するために必要な情報をやりとりするためのプロトコル。VoLTEを含むインターネット電話（IP電話）でも使われている
他の脆弱性は、現時点ではCVEコードが割り当てられていない。ただし、そのうちの3件はCVE-2023-24033と同様にインターネット経由でリモートコードを実行できてしまう可能性があるという。
影響するデバイス
本件の脆弱性の影響を受けるのは、先述のSoC／モデムを搭載するスマートフォン、タブレット、スマートウォッチや車載情報機器である。日本で発売されているデバイスでは、以下のものが影響を受ける可能性がある。
- Google Pixel 6／6 Pro
- Google Pixel 6a
- Google Pixel 7／7 Pro
- Galaxy A53 5G SC-53C
- Galaxy A53 5G SCG15
また「Exynos W920」を搭載する以下のスマートウォッチも同様に影響する。
- Galaxy Watch4
- Galaxy Watch5
今回の脆弱性は端末のソフトウェア更新で解消可能だが、更新の配信スケジュールはデバイスメーカー次第となる。なお、Pixelシリーズでは2023年3月の月例更新で対処が行われている。
対処が済んでいないデバイスについては、セキュリティの観点からVoLTEとWi-Fi Callingの機能を無効化することが推奨されている。ソフトウェアの更新状況については、発売元（メーカーまたはキャリア）に問い合わせるようにしたい。
Pixel 6以降のPixelシリーズも今回の脆弱性の影響を受けるが、3月の定例更新を適用することで解消できる。ただし、Pixelの更新は利用しているオペレーター（キャリア）によって配信時期がズレる場合があるので、すぐに適用できるとは限らない関連記事
AndroidとPixelに2月の月例更新 Pixel 7／7 Proのクリア音声通話改善など
GoogleがAndroidの月例更新の2月版の配信を開始した。セキュリティ関連では、危険度が最高の「致命的」4件を含む多数の脆弱性が修正される。Pixelシリーズには幾つかのバグ修正もある。
Pixelの新機能紹介「Feature Drop」、順番待ち代行の「代わりに待ってて」や「Pixel Watch」の転倒検出など
Googleが2023年最初の「Feature Drop」を発表。ユーザーの代わりに電話の順番待ちをする「Hold For Me」の日本での提供開始など。Pixel Watchの転倒検出機能も利用可能になった。
4眼カメラのミドルハイスマホ「Galaxy A53 5G」が5月下旬に登場 ドコモとau／UQ mobileから
サムスン電子のミドルハイスマートフォン「Galaxy A53 5G」が、ドコモとau／UQ mobileから発売される。販売予約は既に受付を開始しているが、発売は5月下旬となる予定だ。【訂正】
Samsung、ミッドレンジ「Galaxy A53 5G」と「Galaxy A33 5G」を発表
Samsungは、ミッドレンジの「A」シリーズの新モデル「Galaxy A53 5G」と「Galaxy A33 5G」を発表した。いずれも5Gをサポートする6.5型端末だ。価格は369ユーロ（約4万8000円）から。
Samsung、フラグシップSoC「Exynos 2200」発表 AMDのアーキテクチャ採用GPU搭載
Samsung Electronicsは新フラグシップSoC「Exynos 2200」を発表した。既に量産を開始している。AMDのアーキテクチャ採用のGPU「Xclipse」搭載で、スマートフォンでコンソールレベルのゲーム体験を提供するとしている。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.
アクセストップ10
- 「iPhone Duo」は“我慢の連続” 歴代最重254g、Face IDなし……それでも満足できる人の条件が分かった （2026年10月30日）
- 若者が選ぶ流行語「チャッピー構文」ってなんだ？ 「結論から言うね」なAIの口癖、実は人間のせいかもしれない （2026年10月30日）
- 楽天モバイル、1100万回線突破の背景に「通信品質向上」とOpensignalが分析 下り速度とカバレッジの課題は残る （2026年10月29日）
- LINEアプリ、旧バージョンと旧OSのサポート終了へ アップデートを呼びかけ （2026年10月29日）
- 東日本初の直営拠点「mineo 渋谷」が閉店 オプテージ広報に聞く閉店理由と今後のリアル接点 （2026年10月30日）
- ドコモSMTBネット銀行、「V NEOBANK」後継の「NEOBANK CASH」を2027年3月29日に提供開始 （2026年10月30日）
- ミークのIoT SIMに楽天モバイル回線を追加、国内初の「4キャリア」対応 月額50円の「休止プラン」も （2026年10月29日）
- 「arrows Alpha2（8GB＋256GB）」、IIJへMNPで約3万円割引 11月4日まで【スマホお得情報】 （2026年10月29日）
- auが通信品質10部門で単独首位、追うソフトバンクは「小差」 5G SA利用率3.8％の課題も Opensignal調査 （2026年10月28日）
- 日本通信のフルMVNOサービス、開始時期を5カ月延長へ 「テクニカルな課題が判明」 （2026年10月28日）
過去記事カレンダー
Feed Back
ITmediaはアイティメディア株式会社の登録商標です。