CVE-2023-21237とは？Android Pixelの脆弱性をわかりやすく解説

ひとことでAndroid Pixel の通知の仕組みで、動作中の通知を隠されて情報が漏れる弱点です。
深刻度5.5 警告CVSS v3.1
まずやることPixel のセキュリティパッチレベルを確認する

基本情報（データから表示）

CVE番号	CVE-2023-21237
製品	Android Pixel
深刻度（CVSS）	5.5 警告CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N`
KEVへの追加日	2024-03-05
米国政府機関の対応期限	2024-03-26
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-200（権限のない人への機密情報の露出）

何が起きた

Android Pixel の Framework という部分に、画面の表示が紛らわしい、または不十分なために、フォアグラウンドサービスの通知を隠せてしまう弱点が見つかりました。これにより、情報が漏れるおそれがあります。NVD の評価では、攻撃者は対象の機器上で、一般利用者程度の権限があれば、利用者の操作なしに悪用できるとされています。Google の Pixel 向けセキュリティ情報では、限られた標的を狙った悪用の兆候があるとされ、CISA の KEV にも載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Google の Pixel 端末を使っている人・組織が対象です。データ上の対象は Android 13（Android-13）です。

何をすればいい

Pixel 端末のセキュリティパッチレベルが 2023-06-05 以降になっているか、設定画面で確認してください。まだなら、端末のアップデートを適用します。あわせて Google の Pixel 向けセキュリティ情報（公式の案内）を確認してください。

やることチェックリスト

Pixel のセキュリティパッチレベルを確認する
パッチレベル 2023-06-05 以降に更新する
端末のアップデートをすぐに適用する

用語メモ

フォアグラウンドサービス: アプリが画面の裏で動き続けるときに使う仕組みで、動いていることを通知で利用者に知らせます。
セキュリティパッチレベル用語集で見る: Android 端末にどの時点までの安全のための修正が入っているかを表す日付です。設定画面で確認できます。

次に読む

同じ製品・メーカーの脆弱性Android Pixel（CVE-2024-32896）7.8 重要CVSS v3.1Google の Pixel のファームウェアで、権限を高められてしまう弱点です。同じ製品・メーカーの脆弱性Android Pixel（CVE-2024-29748）7.8 重要CVSS v3.1Android の Pixel で、端末の初期化を途中で止められてしまう弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Android Pixel Information Disclosure Vulnerability

概要

Android Pixel contains a vulnerability in the Framework component, where the UI may be misleading or insufficient, providing a means to hide a foreground service notification. This could enable a local attacker to disclose sensitive information.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Android Pixel の情報漏えいの脆弱性（CVE-2023-21237）