• ひとことでAndroid の Pixel の fastboot で、情報が漏れるおそれがある弱点です。
  • 深刻度5.5 警告CVSS v3.1
  • まずやることPixel に最新のシステム更新を入れる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2024-29745
製品Android Pixel
深刻度（CVSS）5.5 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
KEVへの追加日2024-04-04
米国政府機関の対応期限2024-04-25
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-908（初期化されていないリソースの使用）

何が起きた

Android の Pixel で、端末のロック解除や書き込みに使う fastboot のファームウェア（ブートローダー）に、情報が漏れる弱点が見つかりました。NVD の説明では、中身を初期化していないデータが原因です。NVD の評価では、攻撃は対象の端末の上で行われ、一般利用者程度の権限が必要ですが、利用者の操作は不要です。Google は、限定的で標的を絞った悪用を受けている可能性を示す兆候があるとしています。

誰が影響を受ける

Android の Pixel 端末を使っている人・組織が対象です。影響を受けるバージョンは、このデータからは不明ですが、Google は Pixel 向けの 2024-04-05 のセキュリティパッチレベルで修正したとしています。

何をすればいい

Google は、セキュリティパッチレベル 2024-04-05 以降で、この告知のすべての問題が直るとしています。サポートされている Pixel にはこのレベルの更新が配られるので、システム更新を入れてください。Google の公式の案内（Pixel Update Bulletin）を確認し、更新できない端末は使うのをやめることも考えてください。

やることチェックリスト

  • Pixel に最新のシステム更新を入れる
  • セキュリティパッチレベルが 2024-04-05 以降か確認する
  • 更新を受けられない Pixel は使うのをやめる

用語メモ

fastboot
Android 端末を起動する前の段階で、ロック解除やシステムの書き込みなどを行うための仕組みです。
ブートローダー
電源を入れたときに最初に動き、OS を読み込んで起動させるプログラムです。
セキュリティパッチレベル 用語集で見る
Android 端末に、いつの時点までのセキュリティ修正が入っているかを日付で表したものです。

次に読む

同じ製品・メーカーの脆弱性Android Pixel（CVE-2024-32896）7.8 重要CVSS v3.1Google の Pixel のファームウェアで、権限を高められてしまう弱点です。同じ製品・メーカーの脆弱性Android Pixel（CVE-2024-29748）7.8 重要CVSS v3.1Android の Pixel で、端末の初期化を途中で止められてしまう弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Android Pixel Information Disclosure Vulnerability

概要

Android Pixel contains an information disclosure vulnerability in the fastboot firmware used to support unlocking, flashing, and locking affected devices.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る