最近の脆弱性 › CVE-2023-21237
Android Pixel の情報漏えいの脆弱性（CVE-2023-21237）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2023-21237 |
|---|---|
| 製品 | Android Pixel |
| 深刻度（CVSS） | 5.5 警告CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| KEVへの追加日 | 2024-03-05 |
| 米国政府機関の対応期限 | 2024-03-26 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-200 |
何が起きた
Android Pixel の Framework という部分に、画面の表示が紛らわしい、または不十分なために、フォアグラウンドサービスの通知を隠せてしまう弱点が見つかりました。これにより、情報が漏れるおそれがあります。NVD の評価では、攻撃者は対象の機器上で、一般利用者程度の権限があれば、利用者の操作なしに悪用できるとされています。Google の Pixel 向けセキュリティ情報では、限られた標的を狙った悪用の兆候があるとされ、CISA の KEV にも載っています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Google の Pixel 端末を使っている人・組織が対象です。データ上の対象は Android 13（Android-13）です。
何をすればいい
Pixel 端末のセキュリティパッチレベルが 2023-06-05 以降になっているか、設定画面で確認してください。まだなら、端末のアップデートを適用します。あわせて Google の Pixel 向けセキュリティ情報（公式の案内）を確認してください。
やることチェックリスト
- Pixel のセキュリティパッチレベルを確認する
- パッチレベル 2023-06-05 以降に更新する
- 端末のアップデートをすぐに適用する
用語メモ
- フォアグラウンドサービス
- アプリが画面の裏で動き続けるときに使う仕組みで、動いていることを通知で利用者に知らせます。
- セキュリティパッチレベル
- Android 端末にどの時点までの安全のための修正が入っているかを表す日付です。設定画面で確認できます。
元データ（英語・CISA KEV より）
Android Pixel Information Disclosure Vulnerability
概要
Android Pixel contains a vulnerability in the Framework component, where the UI may be misleading or insufficient, providing a means to hide a foreground service notification. This could enable a local attacker to disclose sensitive information.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.