ニュース
Google、Androidの月例セキュリティ情報を発表 ～Amazon FireなどMediaTek端末でルートを奪取される問題にも対処
メディアフレームワークで任意コードが実行される“Critical”な脆弱性などに対処
2020年3月4日 13:40
米Googleは3月3日（現地時間）、Androidの月例セキュリティ情報を発表した。今回公表されたセキュリティ情報の内容は、少なくとも1カ月前にパートナーへ通知済み。いずれ各社からアップデートが提供されるはずだ。
今月のセキュリティパッチは通例に従い“2020-03-01”と“2020-03-05”の2本立てとなっており、過去に実施された脆弱性の修正も含まれている。
セキュリティ パッチレベル“2020-03-01”
“2020-03-01”は、対応に時間のかかるカーネルコンポーネントや特定ベンダー向けの一部修正を省いたサブセット。Androidパートナーが迅速にユーザーへアップデートを提供できるよう、あえて分割されている。フレームワークで1件、メディアフレームワークで3件、システムで6件の脆弱性が修正された。また、“Google Play”システムのアップデートでもメディアコーデックの脆弱性が1件修正されている。
これらの問題の中でもっとも脅威となるのは、メディアフレームワークにおける任意コード実行の脆弱性（CVE-2020-0032）だ。「Android 8.0」以降に影響し、深刻度は“Critical”と評価されている。
セキュリティ パッチレベル“2020-03-05”
“2020-03-05”は、すべての脆弱性修正を含んだ完全版。“2020-03-01”での修正に加え、システムで1件、カーネルコンポーネントで4件、FPCのコンポーネントで6件、MediaTekのコンポーネントで1件、クアルコムのコンポーネントで8件の脆弱性が修正された。クアルコムのクローズドソースコンポーネントでも、多くの問題が修正されている。
なかでもMediaTekコンポーネントの脆弱性（CVE-2020-0069）には注意が必要。深刻度の評価は“High”止まりだが、ユーザーコミュニティ“XDA-Developers”によると、この脆弱性を悪用したエクスプロイト（攻撃プログラム）がすでに報告されている。このエクスプロイトは“MediaTek-su（MTK-su）”と呼ばれており、“Amazon Fire”タブレットをはじめとするMediaTekチップを搭載したデバイスで、一時的にルート権限（su）を取得できてしまう。
MediaTekはこの脆弱性の発覚後すぐ、2019年5月に修正パッチをリリースしたが、いまだに対応していないOEMが多くあるといわれ、影響の拡大が懸念されている。Googleであればライセンス契約や“Android One”などのプログラム条項を通じてOEMに対しデバイスを更新するよう強制できるため、今回のパッチで対応が進むことが期待される。