最近の脆弱性 › CVE-2021-25369
Samsung Mobile Devices の情報漏えいの脆弱性（CVE-2021-25369）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2021-25369 |
|---|---|
| 製品 | Samsung Mobile Devices |
| 深刻度（CVSS） | 5.5 警告CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| KEVへの追加日 | 2022-11-08 |
| 米国政府機関の対応期限 | 2022-11-29 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-200 |
何が起きた
Samsung のスマートフォンなどの sec_log ファイルで、アクセスの制限が不十分なため、カーネル（OS の中心部分）の重要な情報がふつうのアプリから見えてしまう弱点が見つかりました。実際に悪用が確認されています。CISA によると、この弱点は CVE-2021-25337 と CVE-2021-25370 と組み合わせて（連鎖させて）悪用されました。NVD の評価では、攻撃者は端末の上で、一般利用者程度の権限があれば、利用者の操作なしに悪用できます。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Samsung によると、Android 8.x（O）、9.0（P）、10.0（Q）の Samsung の端末が対象です。CISA は、Mali GPU を使う Samsung の端末と説明しています。SMR Mar-2021 Release 1 より前のセキュリティ更新の端末が影響を受けます。
何をすればいい
Samsung のセキュリティ更新 SMR Mar-2021 Release 1 以降が端末に適用されているか確認し、まだなら更新してください。Samsung によると、この更新では問題の sec_log ファイルが取り除かれています。同じ更新で、組み合わせて使われた CVE-2021-25337 と CVE-2021-25370 も修正されています。あわせて、Samsung の公式の案内を確認してください。
やることチェックリスト
- SMR Mar-2021 Release 1 以降の更新を適用する
- Android 8.x から 10.0 の Samsung 端末を洗い出す
- CVE-2021-25370 も同じ更新で直す
用語メモ
- カーネル
- OS の中心部分で、メモリや部品など端末全体を管理するプログラムです。
- アクセスの制限
- だれが、どのデータを見たり変えたりできるかを決める仕組みです。
元データ（英語・CISA KEV より）
Samsung Mobile Devices Improper Access Control Vulnerability
概要
Samsung mobile devices using Mali GPU contains an improper access control vulnerability in sec_log file. Exploitation of the vulnerability exposes sensitive kernel information to the userspace. This vulnerability was chained with CVE-2021-25337 and CVE-2021-25370.
推奨対応
Apply updates per vendor instructions.