- ひとことでSamsung のスマホの画像処理部品で、任意のプログラムを動かされる弱点です。
- 深刻度9.8 緊急CVSS v3.1
- まずやること端末のセキュリティ更新の日付を確認する
基本情報（データから表示）
| CVE番号 | CVE-2025-21043 |
|---|---|
| 製品 | Samsung Mobile Devices |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2025-10-02 |
| 米国政府機関の対応期限 | 2025-10-23 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-787（範囲外への書き込み） |
何が起きた
Samsung のスマートフォンなどで使われる画像処理の部品 libimagecodec.quram.so に、決められた範囲の外にデータを書き込んでしまう弱点が見つかり、実際の悪用が確認されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。一方、Samsung が登録した CVE の記録の評価では、利用者の操作が必要とされています。悪用されると、攻撃者が選んだ任意のプログラムを動かされるおそれがあります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Samsung の案内では、Android 13、14、15、16 の Samsung の端末で、SMR Sep-2025 Release 1 より前のセキュリティ更新のものが対象です。
何をすればいい
Samsung の公式の案内を確認し、端末を SMR Sep-2025 Release 1 以降のセキュリティ更新に更新してください。
やることチェックリスト
- 端末のセキュリティ更新の日付を確認する
- SMR Sep-2025 Release 1 以降に更新する
- Android 13〜16 の端末か確認する
用語メモ
- libimagecodec.quram.so
- Samsung の端末で、画像の読み込みや変換を受け持つプログラムの部品です。
- 範囲の外
- プログラムがデータを置くために用意した場所の外側のことです。そこに書き込むと、ほかのデータを壊して誤作動の原因になります。
- 任意のプログラム 用語集で見る
- 攻撃者が好きに選んで動かせるプログラムのことです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Samsung Mobile Devices Out-of-Bounds Write Vulnerability
概要
Samsung mobile devices contain an out-of-bounds write vulnerability in libimagecodec.quram.so which allows remote attackers to execute arbitrary code.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
この元データの出どころ: CISA KEV カタログで見る