JVNVU#92141772
Android Stagefright に複数の脆弱性

Stagefright は Andorid 2.2 (Froyo) で導入された Android 向けメディア再生サービスです。Stagefright には、遠隔の攻撃者によるコード実行を可能にする整数オーバーフローを含む、複数の脆弱性が存在します。

• Android 2.2 (Froyo) から Android 5.1.1_r9 (Lollipop) より前のバージョンまで

Zimperium zLabs のブログ記事によると、Android の Stagefright エンジンには、整数オーバーフローを含む複数の脆弱性が存在し、遠隔の攻撃者によって、ファイルにアクセスされたり、デバイス上でコードを実行されたりする可能性があります。この脆弱性は、Android 2.2 (Froyo) から Android 5.1.1_r9 (Lollipop) より前のバージョンまでのすべてのバージョンに影響があります。

攻撃対象となるユーザの電話番号を知る攻撃者は、Stagefright が不適切に処理するように細工したマルチメディアメッセージ (MMS) を送信することで攻撃が可能ですが、他にも、クライアントサイド (ウェブブラウザ、ダウンロード、メール)、物理的隣接 (NFC、Bluetooth、vCard)、物理アクセス (SD カード、USB On-The-Go、USB メディア転送プロトコル・画像転送プロトコル)、ギャラリーを使用したものや、判明していない手法による攻撃も考えられます。

Ars Technica によると、「攻撃に成功すると、少なくとも、音声、カメラ、外部ストレージの情報に直接アクセスでき」、「多くの場合、Stagefright のコードにシステム権限が与えられているため、攻撃者は他のリソースにもアクセス可能な設計になっている」とのことです。

Zimperium はこれらの脆弱性についてさらに詳しい情報を、proof-of-concept コードやパッチ、動画による実証デモ、この脆弱性を検出するための Android アプリとともに公開しています。

指摘されている脆弱性は次の通りです。

1. CVE-2015-1538, P0006, Google Stagefright ‘stsc’ MP4 Atom Integer Overflow Remote Code Execution
2. CVE-2015-1538, P0004, Google Stagefright ‘ctts’ MP4 Atom Integer Overflow Remote Code Execution
3. CVE-2015-1538, P0004, Google Stagefright ‘stts’ MP4 Atom Integer Overflow Remote Code Execution
4. CVE-2015-1538, P0004, Google Stagefright ‘stss’ MP4 Atom Integer Overflow Remote Code Execution
5. CVE-2015-1539, P0007, Google Stagefright ‘esds’ MP4 Atom Integer Underflow Remote Code Execution
6. CVE-2015-3827, P0008, Google Stagefright ‘covr’ MP4 Atom Integer Underflow Remote Code Execution
7. CVE-2015-3826, P0009, Google Stagefright 3GPP Metadata Buffer Overread
8. CVE-2015-3828, P0010, Google Stagefright 3GPP Integer Underflow Remote Code Execution
9. CVE-2015-3824, P0011, Google Stagefright ‘tx3g’ MP4 Atom Integer Overflow Remote Code Execution
10. CVE-2015-3829, P0012, Google Stagefright ‘covr’ MP4 Atom Integer Overflow Remote Code Execution

遠隔の攻撃者によって、Android 端末上でコードを実行される可能性があります。

アップデートする
Android Open Source Project (AOSP) はこれらの脆弱性を修正した Android 5.1.1_r9 をリリースしています。
2015年8月17日時点で、このアップデートは Nexus、Samsung、HTC の端末のみに提供されています。The Register の報道によると、Google は 9月に複数の機種に対するアップデートを OTA で提供するものとみられます。

米国内においては携帯電話キャリアがアップデートのプロセスの大部分を管理しているため、端末によってアップデートが入手可能かどうかが異なります。アップデートに関しては、携帯電話キャリアもしくは端末の製造元へお問い合わせください。

なお、元となった情報公開をきっかけとして、最初のパッチでは脆弱性を完全に修正できていないことが判明しています。
CVE-2015-3864 は Exodus Intelligence のブログ記事で投稿された問題に対して Google によって割り当てられたものであり、修正アップデートがリリースされています。

ワークアラウンドを実施する
次のワークアラウンドを適用することで本脆弱性の影響を軽減することが可能です。

• 見知らぬ送信者からのすべてのテキストメッセージをブロックする
  見知らぬ送信者からのすべてのテキストメッセージを、使用しているメッセージアプリでブロックすることによって、この問題の影響を軽減することが可能です。
• マルチメディアメッセージの自動取込みを無効にする
  使用しているメッセージアプリで送信者をブロックできない場合、マルチメディアメッセージの自動取込みを無効にすることもできます。これにより、Stagefright による MMS コンテンツの自動読込みを防ぐことが可能です。