Samsung製スマホなどの既知脆弱性が攻撃の標的に - 米政府が注意喚起

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、積極的な悪用が確認されているとして現地時間5月19日に3件の脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加した。

同リストに追加された脆弱性は、米行政機関において一定期間内に対応する義務が課されている。一方、脆弱性そのものは広く悪用されるおそれがあり、CISAでは対象機関に限らず、すべての組織に対して注意を呼びかけている。

具体的には、「Android 13」「同12」「同11」を搭載したSamsung製のモバイル端末が影響を受ける脆弱性「CVE-2023-21492」を追加した。

ログへ機密情報が流出する脆弱性で、攻撃者がローカル環境の権限を持っている場合、参照した情報を用いてメモリ保護のセキュリティ対策をバイパスすることが可能となる。

Samsungでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「4.4」、重要度を「中（Moderate）」とレーティング。5月の「月例セキュリティメンテナンスリリース（SMR）」を通じて他脆弱性とともに同脆弱性へ対処していた。

（Security NEXT - 2023/05/22 ）ツイート