システムコンポーネントに致命的な脆弱性 ～Google、Androidの2020年7月セキュリティ情報を発表

Androidの月例セキュリティ情報

　米Googleは7月6日（現地時間）、Androidの月例セキュリティ情報を発表した。今回公表されたセキュリティ情報の内容は、少なくとも1カ月前にパートナーへ通知済み。いずれ各社からアップデートが提供されるはずだ。

　今月のセキュリティパッチは通例に従い“2020-07-01”と“2020-07-05”の2本立てとなっており、過去に実施された脆弱性の修正も含まれている。

セキュリティ パッチレベル“2020-07-01”

　“2020-07-01”は、対応に時間のかかるカーネルコンポーネントや特定ベンダー向けの一部修正を省いたサブセット。Androidパートナーが迅速にユーザーへアップデートを提供できるよう、あえて分割されている。

　今月はフレームワークで2件、メディアフレームワークで2件、システムで3件の脆弱性が修正された。“Google Play”システムもアップデートされているが、今月は脆弱性の修正はないとのこと。

　これらの問題の中でもっとも脅威となるのはシステムコンポーネントで発見された2件の脆弱性（CVE-2020-0224、CVE-2020-0225）で、特別に細工されたファイルを読み込むだけで特権プロセスのコンテキスト内で任意のコードを実行できてしまう可能性がある。前者は「Android 8.0」以降、後者は「Android 10.0」に影響し、深刻度は“Critical”と評価されている。

セキュリティ パッチレベル“2020-07-05”

　“2020-07-05”は、すべての脆弱性修正を含んだ完全版。“2020-07-01”での修正に加え、Broadcomのコンポーネントで2件、カーネルコンポーネントで3件、クアルコムのコンポーネントで3件、MediaTekのコンポーネントで3件、Qualcommコンポーネントで4件の脆弱性が修正された。なかでもBroadcomのコンポーネントで発見された2件の脆弱性は、深刻度“Critical”と評価されており、警戒が必要。

　また、Qualcommのクローズドソースコンポーネントでも多くの問題が修正されている。