Qualcomm の複数のチップセットのuse-after-freeの脆弱性（CVE-2024-43047）

何が起きた

Qualcomm の多くのチップで、DSP Services がメモリの対応表を管理する処理に、ユースアフターフリー（使い終わって手放したメモリを使い続けてしまう不具合）の弱点が見つかり、実際に悪用が確認されています。この不具合により、メモリの中身が壊れることがあります。NVD に登録された Qualcomm の評価では、攻撃は対象の機器上で行われ、一般利用者程度の権限が必要ですが、利用者の操作は不要です。Android のセキュリティ情報でも、限定的で標的を絞った悪用の兆候があるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Qualcomm のチップを使ったスマートフォンなどの機器を使っている人・組織が対象です。CVE の記録では、製品名は Snapdragon で、FastConnect 6900、Snapdragon 8 Gen 1 Mobile、Snapdragon 888 5G Mobile など、多くのチップが影響を受ける一覧に載っています。自分の機器にどのチップが使われているかは、機器のメーカーの情報で確かめる必要があります。

何をすればいい

Android 端末では、設定画面でセキュリティパッチレベルを確かめてください。Android の 2024 年 11 月のセキュリティ情報に、この弱点が載っており、セキュリティパッチレベル 2024-11-05 以降で対策されています。機器のメーカーから更新が出ていれば適用してください。あわせて、Qualcomm と機器のメーカーの公式の案内を確認してください。

やることチェックリスト

• Android のセキュリティパッチレベルを確かめる
• 2024-11-05 以降のパッチを適用する
• 機器のメーカーが出す更新を適用する

用語メモ

ユースアフターフリー

プログラムが、使い終わって手放したメモリを、その後も使ってしまう不具合です。メモリが壊れたり、悪用されたりする原因になります。

DSP

音声や映像などの信号を処理するための専用の部品（デジタル信号処理プロセッサ）です。

セキュリティパッチレベル 用語集で見る

Android 端末に、いつの時点までの安全のための修正が入っているかを日付で表したものです。