CVE-2021-1048とは？Android Kernelの脆弱性をわかりやすく解説

ひとことでAndroid のカーネルで、アプリが権限を不正に高められる弱点です。
深刻度7.8 重要CVSS v3.1
まずやることセキュリティパッチレベルを設定画面で調べる

基本情報（データから表示）

CVE番号	CVE-2021-1048
製品	Android Kernel
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-05-23
米国政府機関の対応期限	2022-06-13
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-416（解放済みメモリの使用）

何が起きた

Android のカーネル（OS の中心部分）の eventpoll.c という部分で、解放したメモリーを使い続けてしまう誤り（use after free）があり、メモリーが壊れ、権限を不正に高められるおそれがある弱点が見つかりました。実際に悪用されたことが確認されており、Google も限定的で狙いを絞った悪用の兆候があるとしています。攻撃は対象の端末の上で、一般利用者程度の権限を持つ攻撃者が、利用者の操作なしに行えます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Android の端末を使っている人が対象です。Google の Android セキュリティ情報（2021 年 11 月）では、この問題は 2021-11-06 のセキュリティパッチレベルで修正されています。それより古いパッチレベルの端末は影響を受けるおそれがあります。

何をすればいい

端末の設定画面で、セキュリティパッチレベルが 2021-11-06 以降になっているか確認してください。古い場合は、端末のメーカーや携帯会社が配る更新を入れてください。公式の案内を確認して対応してください。

やることチェックリスト

セキュリティパッチレベルを設定画面で調べる
パッチレベルを 2021-11-06 以降に更新する
メーカーや携帯会社の更新を入れる

用語メモ

カーネル用語集で見る: OS の中心となる部分で、端末全体を動かす最も強い権限を持っています。
use after free 用語集で見る: 一度片付けた（解放した）メモリーを、プログラムが誤って使い続けてしまう不具合です。
セキュリティパッチレベル用語集で見る: Android の端末に、いつの時点のセキュリティ修正まで入っているかを日付で示したものです。

次に読む

同じ製品・メーカーの脆弱性Android Kernel（CVE-2024-36971）7.8 重要CVSS v3.1Android などが使う Linux カーネルの通信処理に、メモリを誤って使う弱点があります同じ製品・メーカーの脆弱性Android Kernel（CVE-2021-0920）6.4 警告CVSS v3.1Android のカーネルで、処理の競合から権限を高められてしまう弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Android Kernel Use-After-Free Vulnerability

概要

Android kernel contains a use-after-free vulnerability that allows for privilege escalation.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Android Kernel のuse-after-freeの脆弱性（CVE-2021-1048）