Android セキュリティ情報 - 2024 年 5 月

2024 年 5 月 6 日発行

Android セキュリティ情報には、Android デバイスに影響を与えるセキュリティの脆弱性の詳細が含まれています。セキュリティ パッチ レベル 2024-05-05 以降では、これらすべての問題に対処します。デバイスのセキュリティ パッチ レベルを確認する方法については、 「 Android バージョンを確認して更新する 」を参照してください。

Android パートナーには、公開の少なくとも 1 か月前にすべての問題が通知されます。これらの問題に対するソース コード パッチは Android オープン ソース プロジェクト (AOSP) リポジトリにリリースされており、この公開情報からリンクされています。この公開情報には、AOSP 以外のパッチへのリンクも含まれています。

これらの問題の中で最も深刻なのは、システム コンポーネントの重大なセキュリティ脆弱性であり、追加の実行権限を必要とせずにローカルで権限が昇格される可能性があります。重大度の評価は、プラットフォームとサービスの緩和策が開発目的で無効になっている場合、または回避に成功した場合を想定して、脆弱性の悪用が影響を受けるデバイスに与える可能性のある影響に基づいています。

Android プラットフォームのセキュリティを向上させるAndroid セキュリティ プラットフォーム保護と Google Play プロテクトの詳細については、 「Android と Google Play プロテクトの軽減策」セクションを参照してください。

Android および Google サービスの軽減策

これは、Android セキュリティ プラットフォームとGoogle Play プロテクトなどのサービス保護によって提供される緩和策の概要です。これらの機能により、Android でセキュリティの脆弱性が悪用される可能性が低くなります。

  • Android プラットフォームの新しいバージョンの機能強化により、Android 上の多くの問題の悪用はさらに困難になっています。すべてのユーザーに、可能な限り Android の最新バージョンに更新することをお勧めします。
  • Android セキュリティ チームは、Google Play プロテクトを通じて悪用を積極的に監視し、有害な可能性のあるアプリケーションについてユーザーに警告します。 Google Play プロテクトは、Google モバイル サービスを備えたデバイスではデフォルトで有効になっており、Google Play 以外からアプリをインストールするユーザーにとって特に重要です。

2024-05-01 セキュリティ パッチ レベルの脆弱性の詳細

以下のセクションでは、パッチ レベル 2024-05-01 に適用される各セキュリティ脆弱性の詳細を説明します。脆弱性は、影響を受けるコンポーネントの下にグループ化されます。問題は以下の表で説明されており、CVE ID、関連参照、脆弱性の種類、重大度、更新された AOSP バージョン (該当する場合) が含まれています。利用可能な場合は、AOSP 変更リストなど、問題に対処した公開変更をバグ ID にリンクします。複数の変更が 1 つのバグに関連する場合、追加の参照はバグ ID に続く番号にリンクされます。 Android 10 以降を搭載したデバイスは、Google Play システム アップデートだけでなくセキュリティ アップデートも受信する場合があります。

フレームワーク

このセクションの最も深刻な脆弱性により、追加の実行権限が必要なく、ローカルで権限が昇格される可能性があります。

CVE参考文献タイプ重大度更新された AOSP バージョン
CVE-2024-0024 A-293602317 EoP高い12、12L、13、14
CVE-2024-0025 A-279428283 EoP高い12、12L、13、14
CVE-2024-23705 A-293602970 EoP高い12、12L、13、14
CVE-2024-23708 A-293301736 EoP高い12、12L、13、14

システム

このセクションの最も深刻な脆弱性により、追加の実行権限が必要なく、ローカルで権限が昇格される可能性があります。

CVE参考文献タイプ重大度更新された AOSP バージョン
CVE-2024-23706 A-328068777 EoP致命的14
CVE-2024-0043 A-295549388 EoP高い12、12L、13、14
CVE-2024-23707 A-316891059 EoP高い14
CVE-2024-23709 A-317780080 ID高い12、12L、13、14

Google Play システムアップデート

Project Mainline コンポーネントには次の問題が含まれています。

サブコンポーネントCVE
ヘルス＆フィットネスCVE-2024-23706
メディア フレームワークのコンポーネントCVE-2024-23709
パーミッションコントローラーCVE-2024-0043

2024-05-05 セキュリティ パッチ レベルの脆弱性の詳細

以下のセクションでは、パッチ レベル 2024-05-05 に適用される各セキュリティ脆弱性の詳細を説明します。脆弱性は、影響を受けるコンポーネントの下にグループ化されます。問題は以下の表で説明されており、CVE ID、関連参照、脆弱性の種類、重大度、更新された AOSP バージョン (該当する場合) が含まれています。利用可能な場合は、AOSP 変更リストなど、問題に対処した公開変更をバグ ID にリンクします。複数の変更が 1 つのバグに関連する場合、追加の参照はバグ ID に続く番号にリンクされます。

カーネル

このセクションの脆弱性により、追加の実行権限が必要なく、カーネル内の権限がローカルに昇格される可能性があります。

CVE参考文献タイプ重大度サブコンポーネント
CVE-2023-4622 A-299123598
上流カーネル[ 2 ] [ 3 ] [ 4 ]		 EoP高いユニックス

カーネルLTS

以下のカーネルバージョンが更新されました。カーネル バージョンの更新は、デバイスの発売時の Android OS のバージョンに依存します。

参考文献Android 起動バージョンカーネル起動バージョン最小更新バージョン
A-304554927 12 5.4 5.4.254
A-304560886 13 5.15 5.15.123
A-304560975 12 5.10 189.5.10
A-304560987 13 5.10 189.5.10
A-304561454 14 5.15 5.15.123
A-304561455 14 6.1 6.1.43

アームコンポーネント

これらの脆弱性は Arm コンポーネントに影響し、詳細については Arm から直接入手できます。これらの問題の重大度評価は Arm によって直接提供されます。

CVE参考文献重大度サブコンポーネント
CVE-2023-6363
 A-303632069 *高いマリ
CVE-2024-1067
 A-329506905 *高いマリ
CVE-2024-1395
 A-329506991 *高いマリ

MediaTek コンポーネント

これらの脆弱性は MediaTek コンポーネントに影響し、詳細については MediaTek から直接入手できます。これらの問題の重大度評価は、MediaTek によって直接提供されます。

CVE参考文献重大度サブコンポーネント
CVE-2023-32871
 A-309364193
M-ALPS08355514 *		高いDA
CVE-2023-32873
 A-327972597
M-ALPS08583919 *		高いキーインストール
CVE-2024-20056
 A-327973818
M-ALPS08528185 *		高いプリローダー
CVE-2024-20057
 A-327973819
M-ALPS08587881 *		高いキーインストール

クアルコムのコンポーネント

これらの脆弱性は Qualcomm コンポーネントに影響し、適切な Qualcomm セキュリティ情報またはセキュリティ アラートで詳細に説明されています。これらの問題の重大度評価は、クアルコムによって直接提供されます。

CVE参考文献重大度サブコンポーネント
CVE-2024-21471
 A-318393843
QC-CR#3621168		高い画面
CVE-2024-21475
 A-323919078
QC-CR#3530093		高いビデオ
CVE-2024-23351
 A-323918714
QC-CR#3650447 [ 2 ]		高い画面
CVE-2024-23354
 A-323919320
QC-CR#3636888 [ 2 ]		高い画面

クアルコムのクローズドソース コンポーネント

これらの脆弱性は Qualcomm のクローズド ソース コンポーネントに影響し、適切な Qualcomm セキュリティ情報またはセキュリティ アラートで詳細に説明されています。これらの問題の重大度評価は、クアルコムによって直接提供されます。

CVE参考文献重大度サブコンポーネント
CVE-2023-33119
 A-309461253 *高いクローズドソースコンポーネント
CVE-2023-43529
 A-309460466 *高いクローズドソースコンポーネント
CVE-2023-43530
 A-309461471 *高いクローズドソースコンポーネント
CVE-2023-43531
 A-309461198 *高いクローズドソースコンポーネント
CVE-2024-21477
 A-323918871 *高いクローズドソースコンポーネント
CVE-2024-21480
 A-323918475 *高いクローズドソースコンポーネント

よくある質問と回答

このセクションでは、このセキュリティ情報を読んだ後に発生する可能性のある一般的な質問に答えます。

1. これらの問題に対処するためにデバイスが更新されているかどうかを確認するにはどうすればよいですか?

デバイスのセキュリティ パッチ レベルを確認する方法については、 「 Android バージョンを確認して更新する 」を参照してください。

  • セキュリティ パッチ レベル 2024-05-01 以降では、セキュリティ パッチ レベル 2024-05-01 に関連するすべての問題に対処します。
  • セキュリティ パッチ レベル 2024-05-05 以降では、セキュリティ パッチ レベル 2024-05-05 および以前のすべてのパッチ レベルに関連するすべての問題に対処します。

これらのアップデートを組み込むデバイス メーカーは、パッチ文字列レベルを次のように設定する必要があります。

  • [ro.build.version.security_patch]:[2024-05-01]
  • [ro.build.version.security_patch]:[2024-05-05]

Android 10 以降の一部のデバイスでは、Google Play システム アップデートには 2024-05-01 のセキュリティ パッチ レベルに一致する日付文字列が含まれます。セキュリティ更新プログラムのインストール方法の詳細については、この記事を参照してください。

2. このセキュリティ情報には 2 つのセキュリティ パッチ レベルがあるのはなぜですか?

このセキュリティ情報には 2 つのセキュリティ パッチ レベルがあり、Android パートナーはすべての Android デバイスで同様の脆弱性のサブセットをより迅速に修正できる柔軟性を備えています。 Android パートナーは、このセキュリティ情報にあるすべての問題を修正し、最新のセキュリティ パッチ レベルを使用することをお勧めします。

  • 2024-05-01 のセキュリティ パッチ レベルを使用するデバイスには、そのセキュリティ パッチ レベルに関連するすべての問題と、以前のセキュリティ情報で報告されたすべての問題の修正が含まれている必要があります。
  • 2024-05-05 以降のセキュリティ パッチ レベルを使用するデバイスには、この (および以前の) セキュリティ情報に該当するパッチがすべて含まれている必要があります。

パートナーは、対処しているすべての問題の修正を 1 つのアップデートにバンドルすることをお勧めします。

3. [タイプ]列のエントリは何を意味しますか?

脆弱性の詳細テーブルの「タイプ」列のエントリは、セキュリティ脆弱性の分類を参照します。

略語意味
RCEリモートコード実行
EoP特権の昇格
ID情報開示
DoSサービス拒否
該当なし分類は利用できません

4. [参考文献] 列のエントリは何を意味しますか?

脆弱性の詳細表の「参照」列の下のエントリには、参照値が属する組織を識別するプレフィックスが含まれる場合があります。

プレフィックス参照
あ- Android のバグ ID
品質管理-クアルコム参照番号
M- MediaTek 参照番号
N- NVIDIA 参照番号
B- Broadcom 参照番号
う- UNISOC 参照番号

5. [参照]列の Android バグ ID の横にある * は何を意味しますか?

公開されていない問題には、対応する参照 ID の横に * が付いています。この問題のアップデートは通常、 Google デベロッパー サイトから入手できる Pixel デバイス用の最新バイナリ ドライバーに含まれています。

6. セキュリティ脆弱性がこの情報と、Pixel 情報などのデバイス/パートナーのセキュリティ情報に分かれているのはなぜですか?

このセキュリティ情報に記載されているセキュリティの脆弱性は、Android デバイスで最新のセキュリティ パッチ レベルを宣言する必要があります。デバイス/パートナーのセキュリティ情報に文書化されている追加のセキュリティ脆弱性は、セキュリティ パッチ レベルを宣言するために必要ありません。 Android デバイスおよびチップセットのメーカーは、 Google 、 Huawei 、 LGE 、 Motorola 、 Nokia 、またはSamsungなどの自社製品に固有のセキュリティ脆弱性の詳細を公開する場合もあります。

バージョン

バージョン日付ノート
1.0 2024 年 5 月 6 日会報を発行しました。