Qualcomm の複数のチップセットの脆弱性（CVE-2023-33107）

何が起きた

Qualcomm の多くのチップセットで、グラフィックス機能（Graphics Linux）が IOCTL という命令の処理中に、共有の仮想メモリ領域を割り当てるときにメモリが壊れる弱点が見つかりました。原因は、数の計算が上限を超えてあふれる整数オーバーフローです。攻撃には、対象の機器の上で一般利用者程度の権限が必要で、被害者の操作は要りません。この弱点は、実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Qualcomm の Snapdragon などのチップセットを組み込んだ機器を使っている人や組織です。CVE の記録では、FastConnect 6200 や APQ8017 など多数のチップセットが影響を受けるとされています。お使いの機器の修正済みのバージョンは、このデータからは不明です。

何をすればいい

Qualcomm のチップは各社の機器に組み込まれているため、機器のメーカーが配る更新を適用してください。この弱点は Qualcomm の 2023年12月のセキュリティ情報に載っています。公式の案内を確認し、対策が用意できない機器は使うのをやめることも検討してください。

やることチェックリスト

• 機器に Qualcomm のチップが入っているか調べる
• 機器のメーカーが配る更新を適用する
• 更新が出ない機器は使うのをやめるか検討する

用語メモ

整数オーバーフロー 用語集で見る

計算の結果が、決められた数の上限を超えてあふれ、思わぬ小さな値などになってしまう不具合です。メモリを壊す原因になることがあります。

IOCTL 用語集で見る

アプリが機器のドライバ（部品を動かすソフト）に特別な命令を送るためのしくみです。

チップセット 用語集で見る

スマートフォンなどの中で、計算や通信、画像の処理をうけもつ部品のまとまりです。