Googleはこのほど、「Android Security Bulletin—June 2024 | Android Open Source Project」において、Androidデバイスに影響する脆弱性の情報をまとめた2024年6月のセキュリティ情報を公開した。今回のアップデートには2024-06-01、2024-06-05の2つのセキュリティパッチレベルの情報が含まれており、合計37個の脆弱性の情報が公表されている。最も深刻とされる脆弱性は悪用されると、追加の実行権限を必要とせずにローカルの権限を昇格される可能性がある。

  • Android Security Bulletin—June 2024｜Android Open Source Project

    Android Security Bulletin—June 2024 ｜ Android Open Source Project

脆弱性の情報

Androidのセキュリティパッチレベルは、Android OSの脆弱性や悪意のあるコードによる攻撃に対処するためにGoogleが提供するセキュリティパッチのマニフェスト。使用しているAndroidデバイス（スマートフォンやタブレット）に適用されたパッチレベルを調べれば、そのデバイスがどの脆弱性に対処済みかどうかを確認できる。

今回公開されたパッチレベル2024-06-01には19個の脆弱性が、パッチレベル2024-06-05には18個の脆弱性が含まれている。これらのうち深刻度が「緊急(Critical)」と評価されている脆弱性は次のとおり。

  • CVE-2023-43538 - TZ Secure OSのTunnel Invoke Managerにメモリ破壊の脆弱性
  • CVE-2023-43551 - LTEネットワークにアタッチする際の暗号化の不具合。不正な基地局は認証フェーズをスキップし、即座にSecurity Mode Commandを送信できる
  • CVE-2023-43556 - ハイパーバイザーにおけるメモリ破壊の脆弱性

対策

使用しているAndroidデバイスをパッチレベル2024-06-05以降にアップデートすれば、上記の脆弱性の影響を回避できる。アップデートはAndroid 12、12L、13、14で利用可能。Android 11以前のデバイスはサポートが終了しているため、古いデバイスを利用しているユーザーはできるだけ速やかに新しいAndroidデバイスに乗り換えることが推奨される。

なお、Googleは6月11日(米国時間)、「Pixel Update Bulletin—June 2024 | Android Open Source Project」においてGoogle Pixelデバイス向けに公開した2024年6月のセキュリティ情報で、上記のセキュリティ脆弱性に加えてCVE-2024-32896の情報を公開している。

CVE-2024-32896はPixelファームウェアの権限昇格の脆弱性。すでに限定的な標的型攻撃を受けている可能性があるとして注意を呼びかけている。この脆弱性もデバイスをパッチレベル2024-06-05以降にアップデートすれば影響を回避できる。