Qualcomm の複数のチップセットの認可の不備の脆弱性（CVE-2025-21479）

何が起きた

Qualcomm の複数のチップセットで、GPU の一部（マイクロノード）が、決まった順番の命令を受けたときに、本来は許可されていない命令を実行してしまう弱点が見つかりました。その結果、メモリが壊れます。実際の攻撃での悪用が確認されています。NVD に登録された Qualcomm の評価では、対象の機器上で（ローカルで）、権限なしに悪用できますが、利用者の操作が必要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Qualcomm のチップセットを搭載した機器を使っている人・組織が対象です。CVE の記録では、製品名は Snapdragon で、FastConnect 6200 などの多数のチップが影響を受ける一覧に載っています。機器ごとの影響を受けるバージョンは、このデータからは不明です。

何をすればいい

メーカー（ベンダー）の案内に従って、更新や対策をしてください。Android の 2025 年 8 月のセキュリティ情報に、この弱点が載っており、セキュリティパッチレベル 2025-08-05 以降で対策されています。Android 端末では、設定画面でセキュリティパッチレベルを確かめ、端末のメーカーの更新を適用してください。Qualcomm によると、この弱点を含む Adreno GPU のドライバーの修正は、2025年5月に機器メーカーへ提供されています。機器ごとの対応状況は、機器のメーカーに確かめてください。

やることチェックリスト

• Android のセキュリティパッチレベルを確かめる
• 2025-08-05 以降のパッチを適用する
• 対策がない機器は使用をやめるか検討する

用語メモ

チップセット 用語集で見る

スマートフォンなどの中に入っている、計算や通信を受け持つ部品のまとまりです。

GPU 用語集で見る

画面に表示する画像や映像を描くための専用の部品です。

ローカル

ネットワーク越しではなく、対象の機器そのものの上で、という意味です。

セキュリティパッチレベル 用語集で見る

Android 端末に、いつの時点までの安全のための修正が入っているかを日付で表したものです。