Android Framework の権限昇格の脆弱性（CVE-2023-35674）

何が起きた

Android の Framework（WindowState.java の onCreate という部分）に、作りの誤りで、裏側から別の画面（アクティビティ）を起動できてしまう弱点が見つかりました。これにより、端末の中で権限を不正に高められるおそれがあります。端末上で一般利用者程度の権限を持つ攻撃者が、利用者の操作なしで悪用できるとされ、実際に悪用が確認されています。Google の公式情報でも、限られた標的型の悪用の兆候があるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Android 11、12、12L、13 の端末を使っている人が対象です。セキュリティパッチレベルが 2023-09-01 より前の端末が影響を受けます。

何をすればいい

Google の公式の案内（Android セキュリティ情報 2023年9月）を確認してください。端末の設定画面でセキュリティパッチレベルを確かめ、2023-09-01 以降になるよう更新してください。端末メーカーから更新が届いていれば、すぐに適用してください。

やることチェックリスト

• 端末のセキュリティパッチレベルを確かめる
• パッチレベルを 2023-09-01 以降に更新する
• メーカーからの更新が届いたらすぐ適用する

用語メモ

権限

その利用者やアプリが端末の中でできることの範囲です。

セキュリティパッチレベル

Android 端末に、どの時点までのセキュリティ修正が入っているかを示す日付です。

アクティビティ

Android アプリの1つの画面にあたる部品です。