Android Kernel のuse-after-freeの脆弱性（CVE-2021-0920）

何が起きた

Android のカーネル（OS の中心部分）の af_unix.c という部分で、複数の処理がぶつかる競合状態（レースコンディション）が原因で、解放したメモリーを使い続けてしまう誤り（use after free）が起きるおそれがあり、権限を不正に高められる弱点が見つかりました。実際に悪用されたことが確認されており、Google も限定的で狙いを絞った悪用の兆候があるとしています。NVD の評価では、攻撃は対象の端末の上で、管理者などの高い権限を持つ攻撃者が、利用者の操作なしに行えます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Android の端末を使っている人が対象です。Google の Android セキュリティ情報（2021 年 11 月）では、この問題は 2021-11-05 のセキュリティパッチレベルで修正されています。それより古いパッチレベルの端末は影響を受けるおそれがあります。

何をすればいい

端末の設定画面で、セキュリティパッチレベルが 2021-11-05 以降になっているか確認してください。古い場合は、端末のメーカーや携帯会社が配る更新を入れてください。公式の案内を確認して対応してください。

やることチェックリスト

• セキュリティパッチレベルを設定画面で調べる
• パッチレベルを 2021-11-05 以降に更新する
• メーカーや携帯会社の更新を入れる

用語メモ

カーネル

OS の中心となる部分で、端末全体を動かす最も強い権限を持っています。

競合状態

複数の処理が同時に動いたとき、順番の食い違いで想定外の結果になってしまう状態です。

use after free

一度片付けた（解放した）メモリーを、プログラムが誤って使い続けてしまう不具合です。

セキュリティパッチレベル

Android の端末に、いつの時点のセキュリティ修正まで入っているかを日付で示したものです。