Qualcomm Multiple Chipsets のuse-after-freeの脆弱性（CVE-2025-27038）

何が起きた

Qualcomm の複数のチップセットで、Chrome で画像を描くときに Adreno GPU のドライバーがメモリを壊してしまう弱点が見つかりました。使い終わったメモリをまた使ってしまう「解放後使用」という種類の問題です。実際の攻撃での悪用が確認されています。NVD の評価では、ネットワーク経由で、ログインなどの権限なしに悪用できますが、利用者の操作が必要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Qualcomm のチップセットを搭載した機器を使っている人・組織が対象です。CVE の記録では、製品名は Snapdragon で、多数のチップ（たとえば FastConnect 7800 など）が影響を受ける一覧に載っています。機器ごとの影響を受けるバージョンは、このデータからは不明です。

何をすればいい

メーカー（ベンダー）の案内に従って、更新や対策をしてください。Android の 2025 年 8 月のセキュリティ情報に、この弱点が載っており、セキュリティパッチレベル 2025-08-05 以降で対策されています。Android 端末では、設定画面でセキュリティパッチレベルを確かめ、端末のメーカーの更新を適用してください。Qualcomm によると、この弱点を含む Adreno GPU のドライバーの修正は、2025年5月に機器メーカーへ提供されています。機器ごとの対応状況は、機器のメーカーに確かめてください。

やることチェックリスト

• Android のセキュリティパッチレベルを確かめる
• 2025-08-05 以降のパッチを適用する
• 対策がない機器は使用をやめるか検討する

用語メモ

チップセット

スマートフォンなどの中に入っている、計算や通信を受け持つ部品のまとまりです。

GPU

画面に表示する画像や映像を描くための専用の部品です。

解放後使用

使い終わって手放したメモリを、プログラムが誤ってまた使ってしまう弱点です。メモリが壊れ、攻撃に使われることがあります。

ドライバー

部品（ハードウェア）を動かすために、OS とのあいだで橋渡しをするソフトウェアです。

セキュリティパッチレベル

Android 端末に、いつの時点までの安全のための修正が入っているかを日付で表したものです。