CVE-2023-20963とは？Android Frameworkの脆弱性をわかりやすく解説

ひとことでAndroid の Framework にある、アプリに高い権限を取られるおそれのある弱点です。
深刻度7.8 重要CVSS v3.1
まずやることパッチレベルが 2023-03-01 以降か確かめる

基本情報（データから表示）

CVE番号	CVE-2023-20963
製品	Android Framework
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2023-04-13
米国政府機関の対応期限	2023-05-04
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-295（証明書の検証の不備）

何が起きた

Android の Framework の WorkSource という部分に、データの受け渡し（parcel）で食い違いが起きる弱点が見つかりました。悪用されると、端末の中で権限昇格（本来より高い権限を得ること）が起きるおそれがあります。NVD の評価では、端末上で一般利用者程度の権限があれば、利用者の操作なしで悪用できるとされています。Google は限定的で標的を絞った悪用の兆候があるとしており、実際の攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Android 11、12、12L、13 を使っている端末が対象です。2023-03-01 のセキュリティパッチレベルより前の端末が影響を受けます。

何をすればいい

端末の設定画面で、セキュリティパッチレベルが 2023-03-01 以降になっているか確認し、なっていなければ更新してください。更新の配布は端末のメーカーによって異なるため、Android と端末メーカーの公式の案内を確認してください。

やることチェックリスト

パッチレベルが 2023-03-01 以降か確かめる
古い端末は Android の更新を適用する
Android 11 から 13 の端末を洗い出す

用語メモ

権限昇格用語集で見る: 攻撃者が、本来持っていない高い権限を手に入れることです。
セキュリティパッチレベル用語集で見る: Android 端末にどの時点までのセキュリティ修正が入っているかを示す日付です。設定画面で確認できます。
Framework: Android でアプリが動くための土台となる仕組みです。

次に読む

同じ製品・メーカーの脆弱性Android Framework（CVE-2025-48595）8.4 重要CVSS v3.1Androidの仕組みの部分で、整数のあふれから、端末の上で権限を高められる弱点です。同じ製品・メーカーの脆弱性Android Framework（CVE-2025-48633）5.5 警告CVSS v3.1Android の Framework に、端末の管理者を後から追加される弱点があります基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Android Framework Privilege Escalation Vulnerability

概要

Android Framework contains an unspecified vulnerability that allows for privilege escalation after updating an app to a higher Target SDK with no additional execution privileges needed.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Android Framework の権限昇格の脆弱性（CVE-2023-20963）