最近の脆弱性 › CVE-2021-29256

Arm Mali Graphics Processing Unit (GPU) のuse-after-freeの脆弱性（CVE-2021-29256）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2021-29256
製品	Arm Mali Graphics Processing Unit (GPU)
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2023-07-07
米国政府機関の対応期限	2023-07-28
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-416

何が起きた

Arm の Mali GPU（スマートフォンなどの画像処理用の部品）を動かすカーネルドライバーに、すでに解放したメモリを使ってしまう弱点（解放後使用）が見つかり、実際の悪用が確認されています。NVD の評価では、一般利用者程度の権限を持つ攻撃者がネットワーク経由で悪用できるとされています。悪用されると、情報が漏れたり、最も強い root 権限を奪われたりするおそれがあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Arm Mali GPU を搭載した機器（主に Android スマートフォンなど）が対象です。影響を受けるのは、Bifrost の r16p0 から r29p0、Valhall の r19p0 から r29p0、Midgard の r28p0 から r30p0 のドライバーです。

何をすればいい

Arm によると、この弱点は Bifrost と Valhall のドライバーの r30p0、Midgard のドライバーの r31p0 で直されています。スマートフォンなどの利用者は、機器のメーカーが配る更新を適用してください。

やることチェックリスト

Bifrost と Valhall を r30p0 以降にする
Midgard を r31p0 以降にする
機器メーカーの更新を適用する

用語メモ

GPU: 画像や映像の処理を受け持つ部品です。
カーネルドライバー: OS の中心部分（カーネル）で動き、部品を動かすためのプログラムです。
解放後使用: 使い終わって返したメモリを、プログラムが誤ってもう一度使ってしまう不具合です。攻撃に悪用されることがあります。
root 権限: Android や Linux で、何でもできる最も強い権限です。

元データ（英語・CISA KEV より）

Arm Mali GPU Kernel Driver Use-After-Free Vulnerability

概要

Arm Mali GPU Kernel Driver contains a use-after-free vulnerability that may allow a non-privileged user to gain root privilege and/or disclose information.

推奨対応

Apply updates per vendor instructions or discontinue use of the product if updates are unavailable.