Qualcomm の複数のチップセットの脆弱性（CVE-2021-1906）

何が起きた

Qualcomm の多くのチップセット（スマートフォンなどの頭脳にあたる部品）で、GPU（画像を処理する部品）が使うアドレスの登録を取り消す処理が失敗したときの扱いに問題があり、新しい GPU アドレスの割り当てが失敗するおそれがあります。NVD の評価では、対象の機器の上で、一般利用者程度の権限を持つ攻撃者が悪用できるとされています。Google の Android セキュリティ情報では、この弱点が限られた相手を狙った攻撃に使われている可能性を示す兆候があるとされています。CISA によると、実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CVE の記録によると、Snapdragon Auto、Snapdragon Compute、Snapdragon Mobile、Snapdragon Wearables など、多くの製品群のチップセットが対象で、具体的なチップの型番の一覧が CVE の記録に載っています。これらのチップを使ったスマートフォンやタブレット、車載機器などが影響を受ける可能性があります。Android 機器の場合、Google の Android セキュリティ情報（2021年5月）によると、セキュリティパッチレベルが 2021-05-05 以降であれば直っています。それ以外の機器が対象かどうかは、このデータからは不明です。

何をすればいい

CISA は、メーカーの案内に従って更新するよう求めています。Qualcomm は修正を May 2021 の Security Bulletin で案内しており、実際の機器への修正は、スマートフォンなどを作った機器メーカーの更新として届きます。Android 機器では、セキュリティパッチレベルが 2021-05-05 以降になっているか確認してください。公式の案内を確認し、機器メーカーから届くセキュリティ更新を当ててください。

やることチェックリスト

• 機器メーカーのセキュリティ更新を当てる
• Android のパッチレベルが 2021-05-05 以降か確かめる
• 機器メーカーの更新情報で修正の有無を調べる

用語メモ

チップセット 用語集で見る

機器の中で計算や通信などを受け持つ部品の組み合わせのことです。スマートフォンの頭脳にあたります。

GPU 用語集で見る

画面に出す画像などを処理する専用の部品です。

セキュリティ更新

見つかった弱点をふさぐために、メーカーが配る修正のことです。