セキュリティ

SECURITY

公開：2024-11-20

【CVE-2024-43093】AndroidのExternalStorageProviderに特権昇格の脆弱性、Android 12-15に影響

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• AndroidのExternalStorageProviderに脆弱性が発見
• ファイルパスフィルターのバイパスが可能
• 特権昇格の危険性が確認される

Android 12-15の重大な特権昇格の脆弱性

GoogleはAndroidのセキュリティ情報として、ExternalStorageProviderにおける重大な脆弱性【CVE-2024-43093】を2024年11月13日に公開した。この脆弱性は不正なUnicodeの正規化処理により機密ディレクトリへのアクセスを制限するためのファイルパスフィルターをバイパス可能であることが判明している。^[1]

この脆弱性はAndroid 12から15までのバージョンに影響を与えており、追加の実行権限なしで特権昇格が可能となることが確認された。攻撃者は特権昇格を実行するためにユーザーの操作を必要とするものの、CISAによる評価では技術的な影響が全体に及ぶと判断されている。

Google社は脆弱性の深刻度をCVSS v3.1で7.8（High）と評価しており、攻撃の成功時には機密性・完全性・可用性のすべてに高い影響が及ぶ可能性があるとしている。Android Security Bulletinの2024年11月のセキュリティパッチにより修正が提供されており、早急な対応が推奨される。

Android 12-15の脆弱性詳細

特権昇格について

特権昇格とは、システムやアプリケーションにおいて通常よりも高い権限を不正に取得することを指す。セキュリティ上の重要な脅威として以下のような特徴がある。

• 管理者権限の不正取得が可能
• システムの重要な設定変更が可能
• 機密データへのアクセスが可能

ExternalStorageProviderの脆弱性では、ファイルパスフィルターをバイパスすることで本来アクセスできない機密ディレクトリへのアクセスが可能となる。Unicode正規化処理の不備を突いた攻撃により、制限を回避して特権昇格が実行可能であることが確認されている。

Android 12-15の脆弱性に関する考察

ExternalStorageProviderの脆弱性は、Androidの基本的なセキュリティメカニズムの一つであるファイルパスフィルターの実装に問題があることを示している。Unicode正規化処理の不備という基礎的な部分での脆弱性は、同様の問題が他のコンポーネントにも存在する可能性を示唆しており、より包括的なコードレビューの必要性が浮き彫りになった。

今後は特権昇格の脆弱性に対する防御メカニズムの強化が求められる。特にファイルシステムアクセスに関する処理では、入力値の正規化や検証をより厳密に行う必要があるだろう。また、ユーザーの操作を必要とする攻撃に対しては、セキュリティ警告の改善や、ユーザー教育の強化も重要な課題となる。

Androidプラットフォームの進化に伴い、セキュリティ機能の実装はより複雑化している。バージョンアップに伴う新機能の追加や既存機能の改善時には、セキュリティ面での影響をより慎重に評価する必要がある。今後はAI技術を活用した脆弱性検出や、自動化されたセキュリティテストの強化が期待される。

参考サイト

1. ^ CVE. 「CVE Record | CVE」. https://www.cve.org/CVERecord?id=CVE-2024-43093, (参照 24-11-20).
2. Google. https://blog.google/intl/ja-jp/

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧