CVEノート

最近の脆弱性 › CVE-2022-22265

Samsung Mobile Devices のuse-after-freeの脆弱性（CVE-2022-22265）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2022-22265
製品Samsung Mobile Devices
深刻度（CVSS）7.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2023-09-18
米国政府機関の対応期限2023-10-09
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-703

何が起きた

Samsung の一部の Exynos チップを使ったスマートフォンで、NPU ドライバーに、解放したメモリを使い続けてしまう弱点（解放後使用）が見つかりました。これにより、メモリへの任意の書き込みとコードの実行ができてしまう可能性があります。攻撃には端末上で一般利用者程度の権限が必要ですが、利用者の操作は要りません。CISA はこの弱点の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が端末の上で動けるようになる → 2. NPU ドライバーの弱点を突く → 3. メモリが書き換えられコードが実行される1攻撃者が端末の上で動けるようになる2NPU ドライバーの弱点を突く3メモリが書き換えられコードが実行される攻撃の流れ: 1. 攻撃者が端末の上で動けるようになる → 2. NPU ドライバーの弱点を突く → 3. メモリが書き換えられコードが実行される1攻撃者が端末の上で動けるようになる2NPU ドライバーの弱点を突く3メモリが書き換えられコードが実行される

誰が影響を受ける

一部の Exynos チップを使った Samsung のスマートフォンで、SMR Jan-2022 Release 1 より前の状態のものが対象です。Samsung の月例の案内では、影響を受けるのは Android の P(9.0)、Q(10.0)、R(11.0)、S(12.0) の端末とされています。CVE の記録では、これに O(8.x) も加えて書かれています。

何をすればいい

Samsung のスマートフォンに、SMR Jan-2022 Release 1 以降のセキュリティ更新が当たっているか確認してください。どの機種に更新が配られているかは、Samsung の公式の案内を確認してください。

やることチェックリスト

用語メモ

解放後使用
もう使わないとして返したメモリを、プログラムが誤って使い続けてしまう不具合です。攻撃に使われることがあります。
NPU
AI の計算を速く行うための専用の処理装置です。
ドライバー
基本ソフトが機器の部品を動かすために使う専用のプログラムです。

元データ（英語・CISA KEV より）

Samsung Mobile Devices Use-After-Free Vulnerability

概要

Samsung devices with selected Exynos chipsets contain a use-after-free vulnerability that allows malicious memory write and code execution.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

公式情報