【CVE-2024-33073】クアルコム製品に境界外読み取りの脆弱性、多数の製品に影響

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
クアルコム製品における境界外読み取りの脆弱性が発見
クアルコム製品の脆弱性詳細
境界外読み取りについて
クアルコム製品の脆弱性対応に関する考察
参考サイト

記事の要約

複数のクアルコム製品に境界外読み取りの脆弱性
CVSS v3による深刻度基本値は8.2（重要）
情報取得やDoS状態の可能性あり

クアルコム製品における境界外読み取りの脆弱性が発見

クアルコムは複数の製品において境界外読み取りに関する脆弱性が存在すると発表した。この脆弱性はwsa8845h、wsa8845、wsa8840などのファームウェアに影響を与えるものだ。CVSS v3による深刻度基本値は8.2（重要）とされており、攻撃元区分はネットワーク、攻撃条件の複雑さは低いとされている。^[1]

この脆弱性により、攻撃者は特権レベルや利用者の関与なしに攻撃を実行できる可能性がある。影響としては、情報を不正に取得されるおそれがあり、さらにサービス運用妨害（DoS）状態に陥る可能性も指摘されている。機密性への影響は高く、可用性への影響は低いとされているが、完全性への影響はないと評価されている。

脆弱性の影響を受ける製品は多岐にわたり、srv1l、srv1m、SSG2115P、SSG2125P、SXR1230P、SXR2230P、sxr2250p、WCD9340、WCD9370、WCD9375、WCD9380、WCD9385、wcd9390、wcd9395、WSA8830、wsa8832、WSA8835、wsa8840、wsa8845、wsa8845hなどのファームウェアが含まれる。クアルコムは対策としてベンダアドバイザリやパッチ情報を公開しており、ユーザーに適切な対応を求めている。

クアルコム製品の脆弱性詳細

項目	詳細
脆弱性の種類	境界外読み取り（CWE-125）
CVSS v3深刻度基本値	8.2（重要）
攻撃元区分	ネットワーク
攻撃条件の複雑さ	低
攻撃に必要な特権レベル	不要
利用者の関与	不要
影響	情報取得、サービス運用妨害（DoS）

境界外読み取りについて

境界外読み取り（Out-of-bounds Read）とは、プログラムがバッファやアレイの境界を越えてデータを読み取ってしまう脆弱性のことを指す。主な特徴として以下のような点が挙げられる。

メモリ内の意図しないデータにアクセスする可能性がある
機密情報の漏洩につながる危険性がある
プログラムのクラッシュやセキュリティ違反を引き起こす可能性がある

この脆弱性は【CVE-2024-33073】として識別されており、CWEによる脆弱性タイプはバッファオーバーリード（CWE-126）にも分類されている。NVDの評価によると、攻撃元区分はネットワークであり、攻撃条件の複雑さは低いとされている。また、攻撃に必要な特権レベルは不要だが、利用者の関与も不要とされており、影響の想定範囲に変更はないとされている。

クアルコム製品の脆弱性対応に関する考察

クアルコム製品における境界外読み取りの脆弱性は、広範囲の製品に影響を与える重大な問題だ。特に、攻撃条件の複雑さが低く、特権レベルや利用者の関与なしに攻撃が可能という点は、潜在的な被害の大きさを示唆している。今後、この脆弱性を悪用したサイバー攻撃の増加が懸念され、特に機密情報を扱う企業や組織にとっては深刻なリスクとなる可能性がある。

この問題に対する解決策として、クアルコムが提供するパッチの迅速な適用が最優先事項となるだろう。しかし、多数の製品が影響を受けているため、全ての機器のアップデートには時間がかかる可能性がある。そのため、ネットワークセグメンテーションの強化や、影響を受ける可能性のある機器の監視強化など、多層的な防御戦略の採用が推奨される。

今後、クアルコムには製品のセキュリティ設計プロセスの見直しや、脆弱性の早期発見・対応のためのセキュリティテスト強化が期待される。また、業界全体としては、ファームウェアのセキュリティ強化に関するベストプラクティスの共有や、サプライチェーン全体でのセキュリティ意識向上が重要となるだろう。この事例を教訓に、IoTデバイスやネットワーク機器のセキュリティ対策がより一層重視されることを期待したい。