Androidの2018年10月セキュリティ情報が発表 ～フレームワークにコード実行の脆弱性

Androidの月例セキュリティ情報

　米Googleは10月1日（現地時間）、Androidの月例セキュリティ情報を発表した。今回公表されたセキュリティ情報の内容は、少なくとも1カ月前にパートナーへ通知済み。いずれ各社からアップデートが提供されるはずだ。

　今月のセキュリティパッチは通例に従い“2018-10-01”と“2018-10-05”の2本立て。過去に実施された脆弱性の修正も含まれているので、これらが適用されていれば端末は安全といえる。

　今回新たに修正された脆弱性のなかでもっとも重大なものは、細工をしたファイルを読み込ませることでリモートから任意のコードを実行できるようになるフレームワークの脆弱性だが、今のところ悪用の報告はないとのこと。

セキュリティ パッチレベル“2018-10-01”

　“2018-10-01”は、対応に時間のかかるカーネルコンポーネントや特定ベンダー向けの一部修正を省いたサブセット。Androidパートナーが迅速にユーザーへアップデートを提供できるよう、あえて分割されている。フレームワークで5件、メディアフレームワークで5件、システムで13件の脆弱性が修正された。

　なかでもシステムの脆弱性3件（CVE-2017-13283、CVE-2018-9476、CVE-2018-9504）およびメディアフレームワークの脆弱性2件（CVE-2018-9473、CVE-2018-9496）、フレームワークの脆弱性1件（CVE-2018-9490）は深刻度が“Critical”と判定されており、注意を要する。

セキュリティ パッチレベル“2018-10-05”

　“2018-10-05”は、すべての脆弱性修正を含んだ完全版。“2018-10-01”での修正に加え、フレームワークで1件、カーネルコンポーネントで3件の問題が修正されている。