Samsung製Android端末に深刻な脆弱性 - MMSで悪用可能

今回の脆弱性は、Google Project ZeroのMateusz Jurczyk氏がファジングテストにより発見した。

同市が実施したテストでは1500以上のケースでクラッシュすることが判明。一部に任意のコードが実行可能となるケースが見つかった。悪用などは確認されていないという。

脆弱性を悪用するには、メモリ空間を保護する「ASLR（Address Space Layout Randomization）」を突破する必要があり、同氏が示した概念実証では、細工した画像ファイルをMMS経由で繰り返し送りつけ、クラッシュを引き起こすことで悪用可能であることを確認した。

通信状況や端末の利用状況など環境に依存するほか、クラッシュ発生後、再度攻撃するには一定時間をおく必要があるため、同氏の実験では、コードを実行するまでに122件のMMSメッセージと1時間45分ほどを要したという。

今後1、2カ月以内に脆弱性の詳細を明らかにするとしており、端末の利用者はアップデートを実施するよう呼びかけている。

（Security NEXT - 2020/05/15 ）ツイート