Qualcomm Snapdragon Auto, Snapdragon Compute, Snapdragon Connectivity, Snapdragon Consumer IOT, Snapdragon Industrial IOT, Snapdragon Mobile, Snapdragon Voice & Music, Snapdragon Wearables の脆弱性（CVE-2020-11261）

何が起きた

Qualcomm の Snapdragon シリーズの多くの製品で、アプリがとても大きなサイズのメモリーを求めたときに、エラーを正しく返さないため、メモリーが壊れる（メモリー破損）弱点が見つかり、実際に悪用が確認されています。NVD の評価では、攻撃者は対象の機器の上で、一般利用者程度の権限があれば、利用者の操作なしに悪用できます。Google の Android セキュリティ公告でも、限られた相手を狙った悪用が行われている可能性があるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Snapdragon Auto、Snapdragon Compute、Snapdragon Connectivity、Snapdragon Consumer IOT、Snapdragon Industrial IOT、Snapdragon Mobile、Snapdragon Voice & Music、Snapdragon Wearables のチップを使った機器が対象です。Android のスマートフォンやタブレットも含まれます。影響を受けるバージョンの細かい範囲は、このデータからは不明です。

何をすればいい

Google の Android セキュリティ公告（2021年1月）では、この弱点は 2021-01-05 のセキュリティパッチレベルで直されています。Android 機器では、設定画面でセキュリティパッチレベルが 2021-01-05 以降になっているか確認してください。そのほかの機器は、機器メーカーと Qualcomm の公式の案内を確認し、更新を入れてください。

やることチェックリスト

• Android のセキュリティパッチレベルを確かめる
• パッチレベルを 2021-01-05 以降に更新する
• 更新が来ない機器は機器メーカーに確かめる

用語メモ

メモリー破損

プログラムが使うメモリーの中身が、想定外の形で書きかえられてしまう不具合です。悪用されると、機器の乗っ取りなどにつながることがあります。

セキュリティパッチレベル

Android 機器に、いつの時点までのセキュリティ修正が入っているかを示す日付です。設定画面で確かめられます。