楽天モバイルのオリジナルAndroid端末にパッチ未提供の脆弱性 対象端末の利用者には機種変更を推奨

[井上翔，ITmedia]

　楽天モバイルが過去に販売した自社ブランドのAndroidスマートフォンにおいて、修正プログラムが用意されていない脆弱（ぜいじゃく）性が発見された。影響を受ける端末はいずれもサポートを終了していることもあり、同社では端末の機種変更を推奨している。

対象端末と事象の概要

　本事象はJPCERT/CC（JPCERTコーディネーションセンター）とIPA（情報処理推進機構）が共同運営するコンピュータの脆弱（ぜいじゃく）性情報ポータルサイト「JVN（Japan Vulnerability Notes）」に10月14日付で掲載された。

• →楽天モバイルの複数のスマートフォンのAndroid Verified Boot機能において既知のテスト用鍵がそのまま使用されている問題

　影響を受ける端末は以下の通りで、いずれも楽天モバイルが自社ブランドで販売したオリジナル端末となる。

• Rakuten Mini
• Rakuten Hand
• Rakuten Hand 5G
• Rakuten BIG s

本事象の影響を受ける端末（左からRakuten Mini、Rakuten Hand、Rakuten Hand 5G、Rakuten BIG s）

　上記の端末では、「Android Verified Boot」というセキュアブート（確認付き起動）機能において「AOSP（Android Open Source Project）」が提供していた“テスト用”のセキュリティキーを使っていたという。このテスト用セキュリティキーはいわゆる「脆弱な認証情報の利用」に該当し、比較的容易に推測／突破できてしまう。

• →脆弱な認証情報（CWE-1391）の解説（英語）

CWE（Common Weakness Enumeration）による「脆弱な認証情報の利用」の情報

　実際に、上記の端末では物理的アクセスにより、細工されたシステムイメージ（ファームウェア）をインストールできる可能性があるという。

　具体的には、悪意のある第三者が不正なシステムイメージを作成し、当該端末に書き込んでしまえば端末の権限を不正に取得したり、不正なプログラム（アプリ）を実行したり、端末設定をユーザーの意図しないものに変更したりすることができてしまう。

　この脆弱性の緊急性は、CVSS（Common Vulnerability Scoring System） Version 3.0では「6.6（中）」とされている一方で、CVSS Version 4.0では「7.0（高）」とされている。何らかの手段で端末への「物理的アクセス」を許してしまえば、悪意のあるシステムイメージを書き込まれた端末が“悪さ”をしてしまう可能性は否定できない。

　本事象は個人がIPAに通報したことで発覚し、JPCERT/CCが開発者（楽天モバイル）との調整を行った上で公表に至った。

JVN上での脆弱性報告

対策は「買い換え」のみ

　先述の通り、この脆弱性の影響を受ける端末に対するサポートは終了している。そのため、対策はより新しい端末への買い換えということになる。

　セキュリティ更新のない、サポートを終了したデバイスを使い続けることはリスクとなる。今回の対象端末を使い続けている人は、できるだけ早期に端末を買い換えるようにしたい。