Samsung Mobile Devices の権限管理の不備の脆弱性（CVE-2021-25337）

何が起きた

Samsung のスマートフォンなどのクリップボードのサービスで、アクセスの制限が不十分なため、信頼できないアプリが端末の一部のファイルを読んだり書きかえたりできる弱点が見つかりました。実際に悪用が確認されています。CISA によると、この弱点は CVE-2021-25369 と CVE-2021-25370 と組み合わせて（連鎖させて）悪用されました。NVD の評価では、攻撃者は端末の上で、特別な権限なしに悪用できますが、利用者が何かを操作する必要があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Samsung によると、Android 9.0（P）、10.0（Q）、11.0（R）の Samsung の端末が対象です。ただし、11.0（R）で ONEUI 3.1 の端末は対象外です。SMR Mar-2021 Release 1 より前のセキュリティ更新の端末が影響を受けます。

何をすればいい

Samsung のセキュリティ更新 SMR Mar-2021 Release 1 以降が端末に適用されているか確認し、まだなら更新してください。同じ更新で、組み合わせて使われた CVE-2021-25369 と CVE-2021-25370 も修正されています。あわせて、Samsung の公式の案内を確認してください。

やることチェックリスト

• SMR Mar-2021 Release 1 以降の更新を適用する
• Android 9.0 から 11.0 の Samsung 端末を洗い出す
• CVE-2021-25369 も同じ更新で直す

用語メモ

クリップボード

コピーした文字や画像を、貼り付けるまで一時的にしまっておく場所です。

アクセスの制限

だれが、どのデータを見たり変えたりできるかを決める仕組みです。