Android のセキュリティに関する公開情報には、Android デバイスに影響を与えるセキュリティの脆弱性の詳細を掲載しています。セキュリティ パッチレベル 2024-03-05 以降では、以下のすべての問題に対処しています。デバイスのセキュリティ パッチレベルを確認する方法については、Android のバージョンを確認して更新するをご覧ください。
Android パートナーには、情報公開の 1 か月前までにすべての問題が通知されます。Android オープンソース プロジェクト（AOSP）のリポジトリに、各問題に対するソースコード パッチをリリースしています。また、この公開情報では、これらのパッチへのリンクに加え、AOSP 以外のパッチへのリンクも掲載しています。
以下の問題のうち最も重大度の高いのは、システム コンポーネントの重大なセキュリティの脆弱性により、追加の実行権限がなくてもリモートでコードを実行できるようになる問題です。 重大度の評価は、攻撃対象のデバイスでその脆弱性が悪用された場合の影響に基づいています。プラットフォームやサービスでのリスク軽減策が、開発目的または不正な回避策により無効となっていると仮定しています。
Android セキュリティ プラットフォームの保護や Google Play プロテクトについて詳しくは、Android と Google Play プロテクトでのリスク軽減策をご覧ください。こうした保護により、Android プラットフォームのセキュリティが改善されます。
Android と Google サービスでのリスク軽減策
ここでは、Android セキュリティ プラットフォームや Google Play プロテクトのようなサービスによる保護でリスクを軽減する手段について概説します。こうした機能は、Android でセキュリティの脆弱性が悪用される可能性を減らすものです。
- Android プラットフォームの最新版での機能強化により、Android 上の多くの問題の悪用が困難になります。Google では、すべてのユーザーに対し、できる限り最新版の Android に更新することをおすすめしています。
- Android セキュリティ チームは、Google Play プロテクトを使って脆弱性の悪用を積極的に監視しており、有害な可能性があるアプリについてユーザーに警告しています。Google Play プロテクトは、Google モバイル サービスを搭載したデバイスではデフォルトで有効になっており、Google Play 以外からアプリをインストールするユーザーにとっては特に重要です。
セキュリティ パッチレベル 2024-03-01 の脆弱性の詳細
以下に、パッチレベル 2024-03-01 に該当するセキュリティ脆弱性の各項目の詳細を示します。脆弱性は、影響を受けるコンポーネントごとに分類しています。下の表に、問題の内容について説明し、CVE ID、関連する参照先、脆弱性のタイプ、重大度、更新対象の AOSP バージョン（該当する場合）を示します。該当する場合は、バグ ID の欄に、その問題に対処した一般公開されている変更（AOSP の変更の一覧など）へのリンクがあります。複数の変更が同じバグに関係する場合は、バグ ID の後に記載されている番号に、追加の参照へのリンクが設定されています。Android 10 以降を搭載したデバイスは、セキュリティ アップデートと Google Play システム アップデートを受信することがあります。
フレームワーク
最も重大な脆弱性により、追加の実行権限なしで、ローカルで権限を昇格されるおそれがあります。
| CVE | 参照 | タイプ | 重大度 | 更新対象の AOSP バージョン |
|---|---|---|---|---|
| CVE-2024-0046 | A-299441833 | EoP | 高 | 12、12L、13、14 |
| CVE-2024-0048 | A-316893159 | EoP | 高 | 12、12L、13、14 |
| CVE-2024-0049 | A-273936274 | EoP | 高 | 12、12L、13、14 |
| CVE-2024-0050 | A-273935108 | EoP | 高 | 12、12L、13、14 |
| CVE-2024-0051 | A-276442130 | EoP | 高 | 12、12L、13、14 |
| CVE-2024-0053 | A-281525042 | ID | 高 | 12、12L、13、14 |
| CVE-2024-0047 | A-311687929 [2] [3] | DoS | 高 | 14 |
システム
システムの最も重大な脆弱性により、追加の実行権限を必要とすることなく、リモートでコードが実行されるおそれがあります。
| CVE | 参照 | タイプ | 重大度 | 更新対象の AOSP バージョン |
|---|---|---|---|---|
| CVE-2024-0039 | A-295887535 [2] [3] | RCE | 重大 | 12、12L、13、14 |
| CVE-2024-23717 | A-318374503 | EoP | 重大 | 12、12L、13、14 |
| CVE-2023-40081 | A-284297452 | ID | 高 | 12、12L、13、14 |
| CVE-2024-0045 | A-300903400 | ID | 高 | 12、12L、13、14 |
| CVE-2024-0052 | A-303871379 | ID | 高 | 14 |
Google Play システム アップデート
今月 Google Play システム アップデート（プロジェクト Mainline）で対処されたセキュリティ問題はありません。
セキュリティ パッチレベル 2024-03-05 の脆弱性の詳細
パッチレベル 2024-03-05 に該当するセキュリティ脆弱性の各項目について、以下で詳細を説明します。脆弱性は、影響を受けるコンポーネントごとに分類しています。下の表に、問題の内容について説明し、CVE ID、関連する参照先、脆弱性のタイプ、重大度、更新対象の AOSP バージョン（該当する場合）を示します。該当する場合は、バグ ID の欄に、その問題に対処した一般公開されている変更（AOSP の変更の一覧など）へのリンクがあります。複数の変更が同じバグに関係する場合は、バグ ID の後に記載されている番号に、追加の参照へのリンクが設定されています。
AMLogic
これらの脆弱性は AMLogic コンポーネントに影響を与えます。詳細については AMLogic から直接入手できます。これらの問題の重大度の評価は、AMLogic から直接提供されたものです。
Arm コンポーネント
これらの脆弱性は Arm コンポーネントに影響を与えます。詳細については Arm から直接入手できます。これらの問題の重大度の評価は、Arm から直接提供されたものです。
MediaTek コンポーネント
以下の脆弱性は MediaTek コンポーネントに影響を与えます。詳細については MediaTek から直接入手できます。問題の重大度の評価は、MediaTek から直接提供されたものです。
| CVE | 参照 | 重大度 | サブコンポーネント |
|---|---|---|---|
| CVE-2024-20005 |
A-318303317
M-ALPS08355599 * |
高 | da |
| CVE-2024-20022 |
A-318302377
M-ALPS08528255 * |
高 | lk |
| CVE-2024-20023 |
A-318302378
M-ALPS08541638 * |
高 | flashc |
| CVE-2024-20024 |
A-318316114
M-ALPS08541635 * |
高 | flashc |
| CVE-2024-20025 |
A-318316115
M-ALPS08541686 * |
高 | da |
| CVE-2024-20027 |
A-318316117
M-ALPS08541632 * |
高 | da |
| CVE-2024-20028 |
A-318310276
M-ALPS08541632 * |
高 | da |
| CVE-2024-20020 |
A-318302372
M-ALPS08522504 * |
高 | OPTEE |
| CVE-2024-20026 |
A-318310274
M-ALPS08541632 * |
高 | da |
Qualcomm コンポーネント
以下の脆弱性は Qualcomm コンポーネントに影響を与えます。詳細については、該当する Qualcomm のセキュリティに関する公開情報やセキュリティ アラートをご覧ください。問題の重大度の評価は、Qualcomm から直接提供されたものです。
| CVE | 参照 | 重大度 | サブコンポーネント |
|---|---|---|---|
| CVE-2023-43546 |
A-314790498
QC-CR#3602482 |
高 | セキュリティ |
| CVE-2023-43547 |
A-314791076
QC-CR#3602462 [2] |
高 | セキュリティ |
| CVE-2023-43550 |
A-314791623
QC-CR#3595842 |
高 | カーネル |
| CVE-2023-43552 |
A-314791054
QC-CR#3583521 |
高 | WLAN |
| CVE-2023-43553 |
A-314791341
QC-CR#3580821 |
高 | WLAN |
Qualcomm クローズドソース コンポーネント
以下の脆弱性は Qualcomm クローズドソース コンポーネントに影響を与えます。詳細については、該当する Qualcomm のセキュリティに関する公開情報やセキュリティ アラートをご覧ください。 問題の重大度の評価は、Qualcomm から直接提供されたものです。
| CVE | 参照 | 重大度 | サブコンポーネント |
|---|---|---|---|
| CVE-2023-28578 |
A-285902353 * | 重大 | クローズドソース コンポーネント |
| CVE-2023-33042 |
A-295039320 * | 高 | クローズドソース コンポーネント |
| CVE-2023-33066 |
A-303101493 * | 高 | クローズドソース コンポーネント |
| CVE-2023-33105 |
A-314790953 * | 高 | クローズドソース コンポーネント |
| CVE-2023-43539 |
A-314791241 * | 高 | クローズドソース コンポーネント |
| CVE-2023-43548 |
A-314790932 * | 高 | クローズドソース コンポーネント |
| CVE-2023-43549 |
A-314791266 * | 高 | クローズドソース コンポーネント |
一般的な質問と回答
上記の公開情報に対する一般的な質問とその回答は以下のとおりです。
1. 上記の問題に対処するようにデバイスが更新されているかどうかを確かめるには、どうすればよいですか？
デバイスのセキュリティ パッチレベルを確認する方法については、Android のバージョンを確認して更新するをご覧ください。
- セキュリティ パッチレベル 2024-03-01 以降では、セキュリティ パッチレベル 2024-03-01 に関連するすべての問題に対処しています。
- セキュリティ パッチレベル 2024-03-05 以降では、セキュリティ パッチレベル 2024-03-05、およびそれ以前のすべてのパッチレベルに関連するすべての問題に対処しています。
デバイス メーカーは、こうしたアップデートを組み込む場合、パッチレベル文字列を以下のとおり設定する必要があります。
- [ro.build.version.security_patch]:[2024-03-01]
- [ro.build.version.security_patch]:[2024-03-05]
Android 10 以降を搭載した一部のデバイスでは、Google Play システム アップデートに、セキュリティ パッチレベル 2024-03-01 と一致する日付文字列が含まれます。セキュリティ アップデートをインストールする方法については、こちらの記事をご覧ください。
2. この公開情報に 2 つのセキュリティ パッチレベルがあるのはなぜですか？
この公開情報で 2 つのセキュリティ パッチレベルを定義しているのは、すべての Android デバイスにまたがる同様の脆弱性をひとまとめにして、Android パートナーが迅速かつ柔軟に修正できるようにするためです。Android パートナーは、この公開情報に掲載されている問題をすべて修正し、最新のセキュリティ パッチレベルを使用することが推奨されます。
- 2024-03-01 のセキュリティ パッチレベルを使用するデバイスには、このセキュリティ パッチレベルに関連するすべての問題と、それより前のセキュリティに関する公開情報で報告されたすべての問題の修正を含める必要があります。
- 2024-03-05 以降のセキュリティ パッチレベルを使用するデバイスには、今回（およびそれより前）のセキュリティに関する公開情報に掲載された、該当するすべてのパッチを組み込む必要があります。
パートナーには、対処するすべての問題の修正を 1 つのアップデートにまとめて提供することが推奨されています。
3. 「タイプ」列の項目はどういう意味ですか？
脆弱性の詳細の表で「タイプ」列に記載した項目は、セキュリティの脆弱性の分類を示しています。
| 略語 | 定義 |
|---|---|
| RCE | リモートコード実行 |
| EoP | 権限昇格 |
| ID | 情報開示 |
| DoS | サービス拒否攻撃 |
| なし | 該当する分類なし |
4. 「参照」列の項目はどういう意味ですか？
脆弱性の詳細の表で「参照」列に記載した項目には、その参照番号が属する組織を示す接頭辞が含まれる場合があります。
| 接頭辞 | 参照 |
|---|---|
| A- | Android バグ ID |
| QC- | Qualcomm の参照番号 |
| M- | MediaTek の参照番号 |
| N- | NVIDIA の参照番号 |
| B- | Broadcom の参照番号 |
| U- | UNISOC の参照番号 |
5. 「参照」列の Android バグ ID の横にある「*」はどういう意味ですか？
公開されていない問題には、対応する参照 ID の横に「*」を付けています。この問題のアップデートは、Google デベロッパー サイトから入手できる Google Pixel デバイス用最新バイナリ ドライバに通常含まれています。
6. セキュリティの脆弱性が、この公開情報とデバイスやパートナーのセキュリティに関する公開情報（Google Pixel のセキュリティに関する公開情報など）に分けられているのはなぜですか？
Android デバイスの最新のセキュリティ パッチレベルを宣言するためには、このセキュリティに関する公開情報に掲載されているセキュリティの脆弱性への対処が必要となります。それ以外の、デバイスやパートナーのセキュリティに関する公開情報に掲載されているセキュリティの脆弱性への対処は必須ではありません。また、Android デバイスやチップセットのメーカー（Google、Huawei、LGE、Motorola、Nokia、Samsung など）からも、各社製品に固有のセキュリティの脆弱性に関する詳細情報が公開される場合があります。
バージョン
| バージョン | 日付 | メモ |
|---|---|---|
| 1.0 | 2024 年 3 月 4 日 | 情報公開。 |
| 1.1 | 2024 年 7 月 29 日 | CVE の表を更新。 |