Qualcomm の複数のチップセットのuse-after-freeの脆弱性（CVE-2021-1905）

何が起きた

Qualcomm の多くのチップセット（スマートフォンなどの頭脳にあたる部品）で、複数のプロセス（動いているプログラム）が同時にメモリの割り当て（メモリマッピング）を扱うときの処理に問題があり、解放済みのメモリを使ってしまう（use after free）可能性があります。NVD の評価では、対象の機器の上で、一般利用者程度の権限を持つ攻撃者が悪用できるとされています。Google の Android セキュリティ情報では、この弱点が限られた相手を狙った攻撃に使われている可能性を示す兆候があるとされています。CISA によると、実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CVE の記録によると、Snapdragon Auto、Snapdragon Compute、Snapdragon Mobile、Snapdragon Wearables など、多くの製品群のチップセットが対象で、具体的なチップの型番の一覧が CVE の記録に載っています。これらのチップを使ったスマートフォンやタブレット、車載機器などが影響を受ける可能性があります。Android 機器の場合、Google の Android セキュリティ情報（2021年5月）によると、セキュリティパッチレベルが 2021-05-05 以降であれば直っています。それ以外の機器が対象かどうかは、このデータからは不明です。

何をすればいい

CISA は、メーカーの案内に従って更新するよう求めています。Qualcomm は修正を May 2021 の Security Bulletin で案内しており、実際の機器への修正は、スマートフォンなどを作った機器メーカーの更新として届きます。Android 機器では、セキュリティパッチレベルが 2021-05-05 以降になっているか確認してください。公式の案内を確認し、機器メーカーから届くセキュリティ更新を当ててください。

やることチェックリスト

• 機器メーカーのセキュリティ更新を当てる
• Android のパッチレベルが 2021-05-05 以降か確かめる
• 機器メーカーの更新情報で修正の有無を調べる

用語メモ

チップセット 用語集で見る

機器の中で計算や通信などを受け持つ部品の組み合わせのことです。スマートフォンの頭脳にあたります。

use after free 用語集で見る

すでに使い終わって解放したメモリを、プログラムが誤ってまた使ってしまう弱点です。攻撃者に悪用されると、プログラムを乗っ取られることがあります。

プロセス

コンピューターの中で動いている、1つ1つのプログラムのことです。