• ひとことでSamsung の端末で、OS の中心部分の情報がアプリに漏れる弱点です。
  • 深刻度5.5 警告CVSS v3.1
  • まずやることSMR Mar-2021 Release 1 以降の更新を適用する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2021-25369
製品Samsung Mobile Devices
深刻度（CVSS）5.5 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2022-11-08
米国政府機関の対応期限2022-11-29
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-200（権限のない人への機密情報の露出）

何が起きた

Samsung のスマートフォンなどの sec_log ファイルで、アクセスの制限が不十分なため、カーネル（OS の中心部分）の重要な情報がふつうのアプリから見えてしまう弱点が見つかりました。実際に悪用が確認されています。CISA によると、この弱点は CVE-2021-25337 と CVE-2021-25370 と組み合わせて（連鎖させて）悪用されました。NVD の評価では、攻撃者は端末の上で、一般利用者程度の権限があれば、利用者の操作なしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が端末の上でプログラムを動かす → 2. sec_log ファイルを読む → 3. カーネルの重要な情報を手に入れる → 4. 他の弱点と組み合わせて悪用する1攻撃者が端末の上でプログラムを動かす2sec_log ファイルを読む3カーネルの重要な情報を手に入れる4他の弱点と組み合わせて悪用する攻撃の流れ: 1. 攻撃者が端末の上でプログラムを動かす → 2. sec_log ファイルを読む → 3. カーネルの重要な情報を手に入れる → 4. 他の弱点と組み合わせて悪用する1攻撃者が端末の上でプログラムを動かす2sec_log ファイルを読む3カーネルの重要な情報を手に入れる4他の弱点と組み合わせて悪用する攻撃の流れ: 1. 攻撃者が端末の上でプログラムを動かす → 2. sec_log ファイルを読む → 3. カーネルの重要な情報を手に入れる → 4. 他の弱点と組み合わせて悪用する1攻撃者が端末の上でプログラムを動かす2sec_log ファイルを読む3カーネルの重要な情報を手に入れる4他の弱点と組み合わせて悪用する

誰が影響を受ける

Samsung によると、Android 8.x（O）、9.0（P）、10.0（Q）の Samsung の端末が対象です。CISA は、Mali GPU を使う Samsung の端末と説明しています。SMR Mar-2021 Release 1 より前のセキュリティ更新の端末が影響を受けます。

何をすればいい

Samsung のセキュリティ更新 SMR Mar-2021 Release 1 以降が端末に適用されているか確認し、まだなら更新してください。Samsung によると、この更新では問題の sec_log ファイルが取り除かれています。同じ更新で、組み合わせて使われた CVE-2021-25337 と CVE-2021-25370 も修正されています。あわせて、Samsung の公式の案内を確認してください。

やることチェックリスト

  • SMR Mar-2021 Release 1 以降の更新を適用する
  • Android 8.x から 10.0 の Samsung 端末を洗い出す
  • CVE-2021-25370 も同じ更新で直す

用語メモ

カーネル 用語集で見る
OS の中心部分で、メモリや部品など端末全体を管理するプログラムです。
アクセスの制限
だれが、どのデータを見たり変えたりできるかを決める仕組みです。

次に読む

同じ製品・メーカーの脆弱性Samsung Mobile Devices（CVE-2025-21042）9.8 緊急CVSS v3.1Samsung のスマートフォンの画像処理部品に、外から命令を実行される弱点です同じ製品・メーカーの脆弱性Samsung Mobile Devices（CVE-2025-21043）9.8 緊急CVSS v3.1Samsung のスマホの画像処理部品で、任意のプログラムを動かされる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Samsung Mobile Devices Improper Access Control Vulnerability

概要

Samsung mobile devices using Mali GPU contains an improper access control vulnerability in sec_log file. Exploitation of the vulnerability exposes sensitive kernel information to the userspace. This vulnerability was chained with CVE-2021-25337 and CVE-2021-25370.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る