Androidの2021年4月セキュリティ速報 ～システムに任意コード実行の可能性

Androidの月例セキュリティ情報

　米Googleは4月5日（現地時間）、Androidの月例セキュリティ情報を発表した。今回公表されたセキュリティ情報の内容は、少なくとも1カ月前にパートナーへ通知済み。いずれ各社からアップデートが提供されるはずだ。

　今月のセキュリティパッチは通例に従い“2021-04-01”と“2021-04-05”の2本立てとなっており、過去に実施された脆弱性の修正も含まれている。「Android 10」以降を搭載したデバイスはセキュリティアップデートに加え、「GooglePlay」システムのアップデートを受け取る場合があるので注意したい。

セキュリティ パッチレベル“2021-04-01”

　“2021-04-01”は、対応に時間のかかるカーネルコンポーネントや特定ベンダー向けの一部修正を省いたサブセット。Androidパートナーが迅速にユーザーへアップデートを提供できるよう、あえて分割されている。

　今月はフレームワークで9件、メディアフレームワークで3件、システムで6件の脆弱性が修正された。なかでもシステムコンポーネントで修正されたリモートコード実行（RCE）のセキュリティ欠陥（CVE-2021-0430）は深刻度が“Critical”と評価されており、警戒が必要。「Android 10」「Android 11」に影響し、特別に細工された送信を使用してリモートの攻撃者が特権プロセスのコンテキスト内で任意のコードを実行できる可能性がある。

　なお、“CVE-2021-0426”、“CVE-2021-0427”、“CVE-2021-0432”に関してはGooglePlayシステムのアップデート（Project Mainline）にも含まれる。デバイスメーカーがパッチを配信していなくても、Googleから直接修正が提供される。

セキュリティ パッチレベル“2021-04-05”

　“2021-04-05”は、すべての脆弱性修正を含んだ完全版。“2021-04-01”での修正に加えシステムで2件、カーネルコンポーネントで2件、MediaTekのコンポーネントで1件、Qualcommのコンポーネントで1件の脆弱性が修正された。

　また、Qualcommのクローズドソースコンポーネントでも、深刻度“Critical”の問題を含む多くの脆弱性が修正されている。