Androidに致命的な脆弱性、Bluetooth経由でリモートからコードを実行されるおそれ

Androidにセキュリティアップデート

　米Googleは6月5日（現地時間）、Android OSの月例セキュリティ情報を発表した。今回公表された脆弱性の内容は、少なくとも1カ月前にパートナーへ通知済み。デバイスメーカーからアップデートが提供されたら、できるだけ早めに適用しておきたい。

セキュリティ更新プログラムレベル「2023-06-01」

　Android OSのセキュリティ更新プログラムには「2023-06-01」と「2023-06-05」という2つのセキュリティレベルがあり、「2023-06-01」は対応に時間のかかるカーネルコンポーネントや特定ベンダー向けの一部修正を省いたサブセットとなっている。修正範囲に制限を設けることで、迅速にユーザーへアップデートを提供できるように配慮したものだ。

　「2023-06-01」は以前に修正された問題に加え、新たにFrameworkで10件、Systemで13件の脆弱性が修正された。深刻度「Critical」と評価された脆弱性が3件も含まれており、対応は急を要する。

　なかでもSystemコンポーネントの任意コード実行の問題は重大で、HFPサポートが有効な場合、追加の実行権限が必要なしにBluetooth経由でリモートからコードが実行できる可能性がある。この脆弱性を悪用するに際し、ユーザーによる操作は不要だ。

セキュリティ更新プログラムレベル「2023-06-05」

　「2023-06-05」はすべての問題に対処した完全版で、「2023-06-01」での修正に加え、Arm componentsで3件、Imagination Technologiesのコンポーネントで2件、Unisoc componentsで4件、Widevine DRMで2件、Qualcomm componentsで5件の脆弱性が解決されている。深刻度の評価は最高で「High」。

　また、Qualcommのクローズドソースコンポーネントでも、深刻度「Critical」2件を含む多くの問題が修正されている。