Android Framework の権限昇格の脆弱性（CVE-2023-20963）

何が起きた

Android の Framework の WorkSource という部分に、データの受け渡し（parcel）で食い違いが起きる弱点が見つかりました。悪用されると、端末の中で権限昇格（本来より高い権限を得ること）が起きるおそれがあります。NVD の評価では、端末上で一般利用者程度の権限があれば、利用者の操作なしで悪用できるとされています。Google は限定的で標的を絞った悪用の兆候があるとしており、実際の攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Android 11、12、12L、13 を使っている端末が対象です。2023-03-01 のセキュリティパッチレベルより前の端末が影響を受けます。

何をすればいい

端末の設定画面で、セキュリティパッチレベルが 2023-03-01 以降になっているか確認し、なっていなければ更新してください。更新の配布は端末のメーカーによって異なるため、Android と端末メーカーの公式の案内を確認してください。

やることチェックリスト

• パッチレベルが 2023-03-01 以降か確かめる
• 古い端末は Android の更新を適用する
• Android 11 から 13 の端末を洗い出す

用語メモ

権限昇格

攻撃者が、本来持っていない高い権限を手に入れることです。

セキュリティパッチレベル

Android 端末にどの時点までのセキュリティ修正が入っているかを示す日付です。設定画面で確認できます。

Framework

Android でアプリが動くための土台となる仕組みです。