お知らせ詳細

←お知らせ一覧に戻る

【脆弱性対策情報】Android Stagefright に複数の脆弱性
2015-08-03
     
    【概要】

      Stagefright は Andorid 2.2 (Froyo) で導入された Android 向けメディア再生サービスです。遠隔の攻撃者によるコード実行を可能にする、整数オーバーフローを含む複数の脆弱性が存在します。

      Zimperium zLabs のブログによると、Android の Stagefright エンジンには、整数オーバーフローを含む複数の脆弱性が存在し、遠隔の攻撃者によって、ファイルにアクセスされたり、デバイス上でコードを実行されたりする可能性があります。この脆弱性は、Android 2.2 (Froyo) から Android 5.1.1_r5 (Lollipop) より前のバージョンまでのすべてのバージョンに影響があります。ZDNET は、この脆弱性をより深刻にする要因として、「動画閲覧時のタイムラグを短縮するために、Stagefright はユーザが閲覧しようとする前に自動的に動画データの処理を始めている」ことを挙げています。

      Zimperium zLabs ブログ
      http://blog.zimperium.com/experts-found-a-unicorn-in-the-heart-of-android/

      ZDNET
      http://www.zdnet.com/article/stagefright-just-how-scary-is-it-for-android-users/


      攻撃対象となるユーザの電話番号を知る攻撃者は、Stagefright が不適切に処理するように細工したマルチメディアメッセージ (MMS) を送信することで攻撃が可能ですが、他の攻撃方法が用いられる可能性もあります。

      Google がリリースしたパッチ (1, 2, 3) から、本脆弱性は、整数オーバーフロー、整数アンダーフロー、整数オーバーフローの不適切なチェックであることがわかります。整数オーバーフローはメモリエラーの一種であるため、Address Space Layout Randomization (ASLR) 機能が脆弱性の影響を部分的に緩和すると考えられていますが、Forbes のレポートでは、4.1 より前の Android における「攻撃の緩和策は不十分である」としています。ASLR 機能は、Android 4.0 で導入され、Android 4.1 で完全に有効になっています。

      パッチ1
      https://android.googlesource.com/platform/frameworks/av/+/0e4e5a8%5E!/
      パッチ2
      https://android.googlesource.com/platform/frameworks/av/+/5c134e6%5E!/
      パッチ3
      https://android.googlesource.com/platform/frameworks/av/+/030d8d0%5E!/

      Address Space Layout Randomization
      https://developer.android.com/about/versions/android-4.0-highlights.html#security-dev

      Forbes レポート
      http://www.forbes.com/fdc/welcome_mjx.shtml

      Exploit Mitigations in Android Jelly Bean 4.1
      https://www.duosecurity.com/blog/exploit-mitigations-in-android-jelly-bean-4-1


      Ars Technica によると、「攻撃に成功すると、少なくとも、端末の音声やカメラの出力データ、外部ストレージに直接アクセスすることが可能になる」、「多くの古い端末では、Stagefright のコードにシステム権限が与えられており、攻撃者がより多くの端末リソースにアクセスできる設計になっている」とのことです。

      Ars Technica
      http://arstechnica.com/security/2015/07/950-million-android-phones-can-be-hijacked-by-malicious-text-messages/
     
      なお、本脆弱性の詳細は、現在ありません。
      
    【CVSS による深刻度】

      基本値: 5.8 (警告) [IPA値]
       攻撃元区分: ネットワーク
       攻撃条件の複雑さ: 中
       攻撃前の認証要否: 不要
       機密性への影響(C): 部分的
       完全性への影響(I): 部分的
       可用性への影響(A): なし
      
    【影響を受けるシステム】

      Google
      ・Android 2.2 (Froyo) から Android 5.1.1_r5 (Lollipop) より前のバージョンまで

    【想定される影響】

      遠隔の攻撃者によって、Android 端末上でコードを実行される可能性があります。
      
    【対策】

      [アップデートする]
      Google は、これらの脆弱性を修正した Android 5.1.1_r5 (patch 1, 2, 3) をリリースしています。
      なお、すべての Android 5.1.1 (Lollipop) にアップデートが適用されているわけではなく、パッチレベル r5 以上が適用されている必要があります。

      patch 1
      https://android.googlesource.com/platform/frameworks/av/+/0e4e5a8%5E!/
      patch 2
      https://android.googlesource.com/platform/frameworks/av/+/5c134e6%5E!/
      patch 3
      https://android.googlesource.com/platform/frameworks/av/+/030d8d0%5E!/

      最新の Android OS 本体には対策が適用されていますが、米国内においては携帯電話キャリアがアップデートのプロセスの大部分を管理しています。そのため、端末によってアップデートが入手可能かどうかは異なります。アップデートに関しては、携帯電話キャリアもしくは端末の製造元へお問い合わせください。


      [ワークアラウンドを実施する]
      以下の回避策を適用することで本脆弱性の影響を軽減することが可能です。

       * 見知らぬ送信者からのすべてのテキストメッセージをブロックする
        見知らぬ送信者からのすべてのテキストメッセージを、使用しているメッセージ
        アプリでブロックすることによって、この問題の影響を軽減することが可能です。
       * マルチメディアメッセージの自動取込みを無効にする
        使用しているメッセージアプリで送信者をブロックできない場合、マルチメディ
        アメッセージの自動取込みを無効にすることもできます。こうすることで、
        Stagefright による MMS コンテンツの自動読込みを防ぐことができます。
      
    【ベンダ情報】

      Google

    【CWEによる脆弱性タイプ一覧】

      
    【引用元】

      Japan Vulnerability Notes
       http://jvndb.jvn.jp/ja/contents/2015/JVNDB-2015-003949.html

ページトップヘ