Samsung Mobile Devices の脆弱性（CVE-2021-25489）

何が起きた

Samsung のスマートフォンなどで、モデム（通信を受け持つ部品）とのやり取りをするドライバーに、入力された値を確かめない弱点が見つかり、実際の悪用が確認されています。この弱点は書式文字列のバグにつながり、カーネルパニック（OS の中心部分が止まること）を起こします。NVD の評価では、一般利用者程度の権限を持つ攻撃者が機器上で悪用できるとされ、説明では無線（radio）の権限を得ていることが前提とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Samsung のモバイル機器を使っている人が対象です。Samsung の公式情報では、Android の O(8.1)、P(9.0)、Q(10.0)、R(11.0) の Exynos 搭載機器で、SMR Oct-2021 Release 1 より前のものが影響を受けます。

何をすればいい

端末の設定からソフトウェア更新を行い、SMR Oct-2021 Release 1 以降のセキュリティ更新が入っているか確認してください。Samsung のセキュリティ更新の公式の案内も確認してください。更新が届かない古い機種は、使い続けるかどうかを見直してください。

やることチェックリスト

• 端末のソフトウェア更新を実行する
• SMR Oct-2021 Release 1 以降か確かめる
• 更新が届かない古い機種の利用を見直す

用語メモ

モデム

携帯電話の電波を使った通信を受け持つ部品です。

ドライバー

OS が部品を動かすために使うプログラムです。

書式文字列のバグ

文字列の書き方を指定する仕組みに、外から来た値をそのまま使ってしまう不具合です。

カーネルパニック

OS の中心部分が深刻な異常を見つけて止まってしまうことです。