「Android」に権限昇格のおそれ - パッチは未提供

「Android」に、権限の昇格が生じる脆弱性が含まれていることがわかった。修正パッチは提供されていない。

Zero Day Initiative（ZDI）が脆弱性を公表したもの。「Video4Linux 2（V4L2）」のドライバに起因する未修正の「ダブルフリー」の脆弱性が存在するという。ローカル環境の低い権限でコードを実行することで、カーネルの権限を取得されるおそれがある。

同脆弱性は、最高値が10とされる共通脆弱性評価システム「CVSS」において、「7.8」とレーティングされている。CVE番号は採番されていない。

ZDIでは、同脆弱性を3月13日に報告。Googleでは修正する方針を示していたが、8月26日にアップデートを提供しないとの返答があったという。ZDIは事前にGoogleに通知した上で今回のアドバイザリをリリースした。

（Security NEXT - 2019/09/06 ） ツイート

PR

関連記事

米政府、「Exchange Server」脆弱性で緊急指令 - 週末返上での対応求める
「JWE」のRuby実装に深刻な脆弱性 - 総当たり攻撃のおそれ
「Exchange Server」のハイブリッド構成に深刻な脆弱性 - MSが定例外パッチ
「Azure」や「MS 365 Copilot BizChat」に深刻な脆弱性 - 対応は不要
「HashiCorp Vault」のLDAP認証で多要素認証バイパスのおそれ
「Dell PowerProtect Data Domain」に複数脆弱性 - 重要度「クリティカル」
「NVIDIA Triton Inference Server」に複数の深刻な脆弱性
「Trend Micro Apex One」脆弱性でセキュリティ機関も注意喚起
「Trend Micro Apex One」に脆弱性、攻撃も発生 - パッチは8月中旬
プロキシサーバ「Squid」に深刻な脆弱性 - アップデートで修正