SIMalliance Toolbox Browser のコマンドインジェクションの脆弱性（CVE-2019-16256）

何が起きた

一部の Samsung の端末で使われる SIM カード（UICC）に入っている SIMalliance Toolbox Browser（S@T Browser）に、細工した SMS（ショートメッセージ）で命令を送られてしまう弱点が見つかりました。Simjacker とも呼ばれます。NVD の説明によると、攻撃者は SMS に含めた SIM Toolkit（STK）の命令を使って、位置情報や IMEI（端末の識別番号）などを取り出したり、ある種の命令を実行させたりできるおそれがあります。CISA によると実際に悪用されており、NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、S@T Browser を含む SIM カードが入った一部の Samsung の端末の利用者が影響を受けます。一方、欧州連合の機関の CERT-EU の注意喚起では、攻撃の多くは端末の種類に関係なく成り立つとされています。具体的な SIM カードの種類や、影響を受けるバージョンは、このデータからは不明です。

何をすればいい

CISA は、メーカーの案内に従って更新するよう求めています。CERT-EU の注意喚起によると、携帯電話の利用者が自分でできる対策はなく、組織は使っている通信事業者に対策を問い合わせるよう勧められています。通信事業者には、S@T Browser の命令を含む不審な SMS を調べて止めることが、当面の対策として勧められています。さらに、SIM カード（UICC）のセキュリティ設定を遠隔で変えることや、S@T Browser の使用をやめることも挙げられていますが、時間がかかり難しいとされています。

やることチェックリスト

• 使っている通信事業者に対策を問い合わせる
• 事業者は S@T Browser の命令を含む SMS を止める
• 事業者は SIM の設定変更か S@T Browser の廃止を進める

用語メモ

SMS

電話番号あてに短い文字のメッセージを送るしくみです。

UICC

携帯電話に差し込む SIM カードの正式な呼び名の一つで、契約者の情報や小さなプログラムが入っています。

IMEI

携帯電話の端末ごとに付けられた識別番号です。

SIM Toolkit

SIM カードの中のプログラムが、端末に表示や送信などの動作をさせるためのしくみです。