CVEノート

最近の脆弱性 › CVE-2024-29745

Android Pixel の情報漏えいの脆弱性（CVE-2024-29745）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2024-29745
製品Android Pixel
深刻度（CVSS）5.5 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2024-04-04
米国政府機関の対応期限2024-04-25
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-908

何が起きた

Android の Pixel で、端末のロック解除や書き込みに使う fastboot のファームウェア（ブートローダー）に、情報が漏れる弱点が見つかりました。NVD の説明では、中身を初期化していないデータが原因です。NVD の評価では、攻撃は対象の端末の上で行われ、一般利用者程度の権限が必要ですが、利用者の操作は不要です。Google は、限定的で標的を絞った悪用を受けている可能性を示す兆候があるとしています。

誰が影響を受ける

Android の Pixel 端末を使っている人・組織が対象です。影響を受けるバージョンは、このデータからは不明ですが、Google は Pixel 向けの 2024-04-05 のセキュリティパッチレベルで修正したとしています。

何をすればいい

Google は、セキュリティパッチレベル 2024-04-05 以降で、この告知のすべての問題が直るとしています。サポートされている Pixel にはこのレベルの更新が配られるので、システム更新を入れてください。Google の公式の案内（Pixel Update Bulletin）を確認し、更新できない端末は使うのをやめることも考えてください。

やることチェックリスト

用語メモ

fastboot
Android 端末を起動する前の段階で、ロック解除やシステムの書き込みなどを行うための仕組みです。
ブートローダー
電源を入れたときに最初に動き、OS を読み込んで起動させるプログラムです。
セキュリティパッチレベル
Android 端末に、いつの時点までのセキュリティ修正が入っているかを日付で表したものです。

元データ（英語・CISA KEV より）

Android Pixel Information Disclosure Vulnerability

概要

Android Pixel contains an information disclosure vulnerability in the fastboot firmware used to support unlocking, flashing, and locking affected devices.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

公式情報