Google、7月のAndroidセキュリティアップデートでリモートコード実行の重大なバグにパッチを適用

Googleは今月初め、Android端末向けに「7月のセキュリティアップデート」をリリースし、オペレーティングシステムの合計44件の脆弱性に対処した。

7 月のセキュリティ情報によると、これら 44 件の脆弱性のほとんどは重大度が高いと評価されています。このアップデート では、モバイル OS の 11 件の重大なエクスプロイトにパッチが適用されました 。そのうち最も深刻なものは、Android OS メディア フレームワークの重大なセキュリティ脆弱性でした。この脆弱性が悪用された場合、リモート攻撃者 は「特別に作成されたファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行」する 可能性がある と Google は述べています 。

これは、Android オペレーティング システムで見つかった 5 つの重大なリモート コード実行 (RCE) 脆弱性のうちの 1 つでした。 Googleは、このようなエクスプロイトはプラットフォーム全体で発見され、システム、メディアフレームワーク（前述）、そしてAndroidのフレームワーク全体に影響を与えていると述べている。さらに、ブログ投稿では次のように付け加えられました。

このセクションの最も深刻な脆弱性 (CVE-2018-9433) により、リモート攻撃者が特別に細工した PAC ファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。

注 : ご存じない方のために説明しますが、PAC ファイルは、Web ブラウザが URL を取得するために適切なプロキシ サーバーを自動的に選択する方法を定義する JavaScript コードを含む単純なテキスト ファイルです。攻撃者はこれを使用して、トラフィックをプロキシ サーバーに転送するようにブラウザに指示することができます。

Google はまた、20 を超える脆弱性が Qualcomm システム コンポーネントに関連していることも発見しました。これらの中で最も深刻なものは、近くの攻撃者が特権プロセスのコンテキスト内で任意のコードを実行することを可能にする脆弱性 (CVE-2018-5872) でした。クアルコムは、このエクスプロイトはオープンソースの WLAN コンポーネントにリンクされていると述べています。

7 月のセキュリティ パッチは、Essential Phone PH-1 とともに、今月初めに Google の Pixel および Nexus デバイスに展開されました。 Samsung、Nokia などの他の Android メーカーも、スケジュールに応じて今後数日または数週間以内に追随すると予想されます。