Qualcommチップセットの脆弱性「QuadRooter」、9億台以上のAndroid端末に影響

　Check Point Software Technologiesは7日、9億台以上のAndroid端末が搭載しているQualcommチップセットに4件の脆弱性があることを公表し、脆弱性の有無を確認できるアプリ「QuadRooter Scanner」をGoogle Playで公開した。

　「QuadRooter」と名付けられた4件の脆弱性は、製造時にプリインストールされるQualcommチップセット用ドライバーに存在する。Qualcommでは、この4件の脆弱性の修正プログラムをすでにオープンソースコミュニティやOEM向けに提供している。

　脆弱性のうち2件は、独立行政法人情報処理推進機構（IPA）と一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）が運営する「JVN iPedia（脆弱性対策情報データベース）」でも情報が公開されている。いずれも共通脆弱性評価システムCVSS v3による脆弱性評価は7.8と高い。

　IPCルーターカーネルモジュールにおける権限を取得される脆弱性「CVE-2016-2059」は、ポートがクライアントのポートであることを検証しないため、権限を取得される、またはサービス運用妨害（競合状態およびリスト破損）状態にされるもの。Linux Kernel 3.xが対象システムとなっているが、Android OSも影響を受ける。

　Nexus 5X/6P上のQualcomm GPUドライバーにおける権限を取得される脆弱性「CVE-2016-2503」は、攻撃者が悪意のあるコードを仕込んだアプリをAndroid端末にインストールさせることで、Androidデバイスのユーザー権限を昇格し、rootを取得できるもの。

　脆弱性対策情報データベースに情報が登録されていない脆弱性「CVE-2016-2504」と脆弱性「CVE-2016-5340」についても、CVE-2016-2503と同様に、Qualcomm GPUドライバーにおける権限を取得されるものとなる。

　いずれの脆弱性も、4件の脆弱性のうち1件でも悪用されれば、攻撃者によりrootを取得され、端末がフルコントロールされたり、端末内のデータなどに無制限にアクセスされる恐れがある。

　不正アプリのインストールにはアクセス権限が不要なため、Check Pointでは、Google Play以外からアプリをインストールしないよう勧告している。

　影響を受ける端末として、Check Pointでは以下の機種を挙げているが、アプリ「QuadRooter Scanner」を実行すれば、端末の脆弱性の有無が確認できる。なお、編集部で確認したところ、「Xperia Z1f」も脆弱性の影響を受けるとの判定が出た。

・BlackBerry Priv
・Blackphone 1 and Blackphone 2
・Google Nexus 5X, Nexus 6 and Nexus 6P
・HTC One, HTC M9 and HTC 10
・LG G4, LG G5, and LG V10
・New Moto X by Motorola
・OnePlus One, OnePlus 2 and OnePlus 3
・Samsung Galaxy S7 and Samsung S7 Edge
・Sony Xperia Z Ultra

　4件の脆弱性のうち、CVE-2016-2503、CVE-2016-2504の2件については、Googleが提供している月例のセキュリティアップデートですでに修正プログラムが配布されている。しかし、メーカー各社からアップデートプログラムが提供されている端末はごく一部とみられる。