ニュース

Androidの2018年11月セキュリティ情報が発表～任意コードが実行されてしまう脆弱性

今のところ悪用の報告はなし

樽井秀人

2018年11月6日 13:24

Androidの月例セキュリティ情報

　米Googleは11月5日（現地時間）、Androidの月例セキュリティ情報を発表した。今回公表されたセキュリティ情報の内容は、少なくとも1カ月前にパートナーへ通知済み。いずれ各社からアップデートが提供されるはずだ。

　今月のセキュリティパッチは通例に従い“2018-11-01”と“2018-11-05”の2本立て。過去に実施された脆弱性の修正も含まれているので、これらが適用されていれば端末は安全といえる。

　今回新たに修正された脆弱性のなかでもっとも重大なものは、細工をしたファイルを読み込ませるだけで任意のコードを特権プロセスで実行できるようになる脆弱性だが、今のところ悪用の報告はないとのこと。また、実験的に提供されていた「libxaac」ライブラリにいくつかの脆弱性が発見されたため、Androidの製品ビルドからは取り除かれている。

セキュリティパッチレベル“2018-11-01”

　“2018-11-01”は、対応に時間のかかるカーネルコンポーネントや特定ベンダー向けの一部修正を省いたサブセット。Androidパートナーが迅速にユーザーへアップデートを提供できるよう、あえて分割されている。フレームワークで3件、メディアフレームワークで6件、システムで6件の脆弱性が新たに修正された。また、既存の脆弱性修正がメディアフレームワークで1件、システムで1件アップデートされている。

　なかでもシステムの脆弱性4件（CVE-2018-9527、CVE-2018-9531、CVE-2018-9536、CVE-2018-9537）は深刻度が“Critical”と判定されており、注意を要する。