CVEノート

最近の脆弱性 › CVE-2024-29748

Android Pixel の権限昇格の脆弱性（CVE-2024-29748）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2024-29748
製品Android Pixel
深刻度（CVSS）7.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2024-04-04
米国政府機関の対応期限2024-04-25
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-280

何が起きた

Android の Pixel のファームウェアに、プログラムの判断の誤り（ロジックエラー）によって、本来の制限をすり抜けられる弱点が見つかりました。CISA によると、端末を管理するアプリが始めた初期化（ファクトリーリセット）を、攻撃者が途中で止められます。NVD の評価では、攻撃は対象の端末の上で行われ、特別な権限は要りませんが、利用者の操作が必要です。Google は、限定的で標的を絞った悪用を受けている可能性を示す兆候があるとしています。

誰が影響を受ける

Android の Pixel 端末を使っている人・組織が対象です。NVD では、セキュリティパッチレベルが 2024-04-05 より前の Android（Pixel）が影響を受けるとされています。

何をすればいい

Google は、セキュリティパッチレベル 2024-04-05 以降で、この告知のすべての問題が直るとしています。サポートされている Pixel にはこのレベルの更新が配られるので、システム更新を入れてください。Google の公式の案内（Pixel Update Bulletin）を確認し、更新できない端末は使うのをやめることも考えてください。

やることチェックリスト

用語メモ

ロジックエラー
プログラムの処理の考え方や条件の判断に誤りがあり、意図しない動きをしてしまう不具合です。
ファクトリーリセット
端末の中のデータや設定を消して、買ったときの状態に戻す操作です。
セキュリティパッチレベル
Android 端末に、いつの時点までのセキュリティ修正が入っているかを日付で表したものです。

元データ（英語・CISA KEV より）

Android Pixel Privilege Escalation Vulnerability

概要

Android Pixel contains a privilege escalation vulnerability that allows an attacker to interrupt a factory reset triggered by a device admin app.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

公式情報