Android Framework の権限昇格の脆弱性（CVE-2024-43093）

何が起きた

Android の Framework の一部（ExternalStorageProvider）に、大切なフォルダへのアクセスを防ぐ仕組みをすり抜けられる弱点が見つかりました。文字の扱い（Unicode の正規化）が正しくないことが原因で、端末の中で権限を引き上げられるおそれがあります。攻撃者は端末上で一般の利用者程度の権限を持っている必要があり、利用者の操作も必要です。Google も限定的で標的を絞った悪用の兆候があるとしており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Android 12、12L、13、14、15 を使っている端末の利用者が対象です。

何をすればいい

端末の設定から Android のセキュリティパッチレベルを確認し、2025-03-01 以降になっているか確かめてください。なっていなければ、端末の更新を行ってください。Google のセキュリティ情報では、この弱点は Google Play システム アップデート（Documents UI）の修正にも含まれています。更新の配信状況は、端末メーカーや Google の公式の案内を確認してください。なお、CISA の KEV は 2024年11月の Android セキュリティ情報（2024-11-01）を参照先にしていますが、Google が登録した CVE の記録では、2025年3月のセキュリティ情報が参照先になっています。パッチレベルは 2025-03-01 以降を目安にしてください。

やることチェックリスト

• 端末のセキュリティパッチレベルを確認する
• パッチレベル 2025-03-01 以降に更新する
• 端末を最新の状態に更新する

用語メモ

セキュリティパッチレベル 用語集で見る

Android 端末に、いつの時点までのセキュリティ修正が入っているかを日付で示したものです。

権限を引き上げ 用語集で見る

本来は許されていない、より強い操作ができる状態になることです。

Unicode

世界中の文字をコンピューターで扱うための共通の決まりです。