• ひとことでSamsung の端末の画面表示用ドライバーで、メモリが壊れる弱点です。
  • 深刻度4.4 警告CVSS v3.1
  • まずやることSMR Mar-2021 Release 1 以降の更新を適用する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2021-25370
製品Samsung Mobile Devices
深刻度（CVSS）4.4 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H
KEVへの追加日2022-11-08
米国政府機関の対応期限2022-11-29
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-416（解放済みメモリの使用）

何が起きた

Samsung のスマートフォンなどの dpu ドライバー（画面表示に関わる部品）で、ファイル記述子の扱いに誤りがあり、メモリが壊れてカーネルパニック（OS の中心部分が止まること）につながる弱点が見つかりました。実際に悪用が確認されています。CISA によると、この弱点は CVE-2021-25337 と CVE-2021-25369 と組み合わせて（連鎖させて）悪用されました。NVD の評価では、攻撃者は端末の上で、管理者などの高い権限を持っている必要がありますが、利用者の操作は不要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が他の弱点と組み合わせて準備する → 2. dpu ドライバーの誤りを突く → 3. メモリが壊れる → 4. カーネルパニックが起きる1攻撃者が他の弱点と組み合わせて準備する2dpu ドライバーの誤りを突く3メモリが壊れる4カーネルパニックが起きる攻撃の流れ: 1. 攻撃者が他の弱点と組み合わせて準備する → 2. dpu ドライバーの誤りを突く → 3. メモリが壊れる → 4. カーネルパニックが起きる1攻撃者が他の弱点と組み合わせて準備する2dpu ドライバーの誤りを突く3メモリが壊れる4カーネルパニックが起きる攻撃の流れ: 1. 攻撃者が他の弱点と組み合わせて準備する → 2. dpu ドライバーの誤りを突く → 3. メモリが壊れる → 4. カーネルパニックが起きる1攻撃者が他の弱点と組み合わせて準備する2dpu ドライバーの誤りを突く3メモリが壊れる4カーネルパニックが起きる

誰が影響を受ける

Samsung によると、Android 8.x（O）、9.0（P）、10.0（Q）、11.0（R）で、一部の Exynos チップセットを積んだ Samsung の端末が対象です。CISA は、Mali GPU を使う Samsung の端末と説明しています。SMR Mar-2021 Release 1 より前のセキュリティ更新の端末が影響を受けます。

何をすればいい

Samsung のセキュリティ更新 SMR Mar-2021 Release 1 以降が端末に適用されているか確認し、まだなら更新してください。同じ更新で、組み合わせて使われた CVE-2021-25337 と CVE-2021-25369 も修正されています。あわせて、Samsung の公式の案内を確認してください。

やることチェックリスト

  • SMR Mar-2021 Release 1 以降の更新を適用する
  • Android 8.x から 11.0 の Samsung 端末を洗い出す
  • CVE-2021-25337 も同じ更新で直す

用語メモ

ドライバー 用語集で見る
部品（画面やチップなど）を OS から動かすための小さなプログラムです。
ファイル記述子
プログラムが開いているファイルなどを見分けるための番号です。
カーネルパニック
OS の中心部分（カーネル）で重大な問題が起き、端末が止まったり再起動したりすることです。

次に読む

同じ製品・メーカーの脆弱性Samsung Mobile Devices（CVE-2025-21042）9.8 緊急CVSS v3.1Samsung のスマートフォンの画像処理部品に、外から命令を実行される弱点です同じ製品・メーカーの脆弱性Samsung Mobile Devices（CVE-2025-21043）9.8 緊急CVSS v3.1Samsung のスマホの画像処理部品で、任意のプログラムを動かされる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Samsung Mobile Devices Memory Corruption Vulnerability

概要

Samsung mobile devices using Mali GPU contain an incorrect implementation handling file descriptor in dpu driver. This incorrect implementation results in memory corruption, leading to kernel panic. This vulnerability was chained with CVE-2021-25337 and CVE-2021-25369.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る