• ひとことでSamsung の端末のクリップボード機能で、ファイルを読み書きされる弱点です。
  • 深刻度7.1 重要CVSS v3.1
  • まずやることSMR Mar-2021 Release 1 以降の更新を適用する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2021-25337
製品Samsung Mobile Devices
深刻度（CVSS）7.1 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
KEVへの追加日2022-11-08
米国政府機関の対応期限2022-11-29
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-269（権限管理の不備）

何が起きた

Samsung のスマートフォンなどのクリップボードのサービスで、アクセスの制限が不十分なため、信頼できないアプリが端末の一部のファイルを読んだり書きかえたりできる弱点が見つかりました。実際に悪用が確認されています。CISA によると、この弱点は CVE-2021-25369 と CVE-2021-25370 と組み合わせて（連鎖させて）悪用されました。NVD の評価では、攻撃者は端末の上で、特別な権限なしに悪用できますが、利用者が何かを操作する必要があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 信頼できないアプリが端末に入る → 2. クリップボードのサービスの弱点を突く → 3. 端末の一部のファイルを読み書きする → 4. 他の弱点と組み合わせて悪用する1信頼できないアプリが端末に入る2クリップボードのサービスの弱点を突く3端末の一部のファイルを読み書きする4他の弱点と組み合わせて悪用する攻撃の流れ: 1. 信頼できないアプリが端末に入る → 2. クリップボードのサービスの弱点を突く → 3. 端末の一部のファイルを読み書きする → 4. 他の弱点と組み合わせて悪用する1信頼できないアプリが端末に入る2クリップボードのサービスの弱点を突く3端末の一部のファイルを読み書きする4他の弱点と組み合わせて悪用する攻撃の流れ: 1. 信頼できないアプリが端末に入る → 2. クリップボードのサービスの弱点を突く → 3. 端末の一部のファイルを読み書きする → 4. 他の弱点と組み合わせて悪用する1信頼できないアプリが端末に入る2クリップボードのサービスの弱点を突く3端末の一部のファイルを読み書きする4他の弱点と組み合わせて悪用する

誰が影響を受ける

Samsung によると、Android 9.0（P）、10.0（Q）、11.0（R）の Samsung の端末が対象です。ただし、11.0（R）で ONEUI 3.1 の端末は対象外です。SMR Mar-2021 Release 1 より前のセキュリティ更新の端末が影響を受けます。

何をすればいい

Samsung のセキュリティ更新 SMR Mar-2021 Release 1 以降が端末に適用されているか確認し、まだなら更新してください。同じ更新で、組み合わせて使われた CVE-2021-25369 と CVE-2021-25370 も修正されています。あわせて、Samsung の公式の案内を確認してください。

やることチェックリスト

  • SMR Mar-2021 Release 1 以降の更新を適用する
  • Android 9.0 から 11.0 の Samsung 端末を洗い出す
  • CVE-2021-25369 も同じ更新で直す

用語メモ

クリップボード
コピーした文字や画像を、貼り付けるまで一時的にしまっておく場所です。
アクセスの制限
だれが、どのデータを見たり変えたりできるかを決める仕組みです。

次に読む

同じ製品・メーカーの脆弱性Samsung Mobile Devices（CVE-2025-21042）9.8 緊急CVSS v3.1Samsung のスマートフォンの画像処理部品に、外から命令を実行される弱点です同じ製品・メーカーの脆弱性Samsung Mobile Devices（CVE-2025-21043）9.8 緊急CVSS v3.1Samsung のスマホの画像処理部品で、任意のプログラムを動かされる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Samsung Mobile Devices Improper Access Control Vulnerability

概要

Samsung mobile devices contain an improper access control vulnerability in clipboard service which allows untrusted applications to read or write arbitrary files. This vulnerability was chained with CVE-2021-25369 and CVE-2021-25370.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る