Google は、Bluetooth における潜在的に深刻なリモートコード実行の脆弱性を含む、Android の 2 月のセキュリティ アップデートを公開しました。
CVE-2020-0022と指定されているこの脆弱性は、ドイツの企業ERNWの研究者によって発見され報告されたもので、同氏らによると11月から修正に取り組んでいるとのことだ。
「Android 8.0から9.0では、Bluetoothが有効になっている限り、近くにいるリモート攻撃者がBluetoothデーモンの権限で任意のコードを密かに実行できる」とチームは説明した。
ユーザーの操作は不要で、対象デバイスのBluetooth MACアドレスのみが必要です。一部のデバイスでは、Bluetooth MACアドレスはWi-Fi MACアドレスから推測できます。
この欠陥に関する技術的な詳細はまだ公表されていないものの、この脆弱性により、Androidの旧バージョン（8、8.1、9）では完全なリモートコード実行が可能となるものの、Android 10ではデバイスがクラッシュするだけなので、深刻度はやや低いと報告されています。このバグは、デバイスがBluetooth検出モード、つまりペアリングするデバイスを探している場合にのみ発生する点に留意する必要があります。
一方、ERNWは、この欠陥を心配する人々に対し、有線ヘッドホンに切り替え、公共の場ではデバイスが検出モードになっていないことを確認するようアドバイスしている。
Bluetoothの脆弱性がデバイスへのパッチ適用の十分な理由にならない場合、情報漏洩から権限昇格に至るまで、今月修正された24件以上の脆弱性があります。CVE-2020-0022は、リモートコード実行を許す唯一の脆弱性です。
再び発生：悪質なソフトウェアがGoogle Playに紛れ込み、Androidのルート権限取得の脆弱性を悪用して最大限の被害をもたらす
続きを読む
CVEリストに掲載されている脆弱性のうち6件（Bluetoothのバグを含む）は、システムコンポーネントに存在するとされています。これらには、情報漏洩の脆弱性が2件、権限昇格の脆弱性が2件含まれています。Androidバージョン8～10が影響を受けます。
Androidフレームワークには7つの脆弱性がありました。そのうち3つは情報漏洩、3つは権限昇格、そして1つはサービス拒否攻撃の脆弱性です。カーネルコンポーネントには、権限昇格攻撃を許す2つの脆弱性に対するパッチが適用されました。
残りの10件のCVEリストに記載されているエラーの対象として、Qualcommコンポーネントが挙げられていました。これらの中には、深刻度が「高」とリスクがリストアップされていたものの、クローズドソースのコンポーネントに関係していたため詳細は記載されていない4件の脆弱性が含まれていました。
これまで通り、Google ブランドのデバイスをご利用の方はすぐにアップデートを入手できますが、他のベンダーや通信事業者のデバイスをご利用の方は、該当グループがアップデートをリリースするまで待つ必要があります。®
