Googleは8月5日(米国時間)、「Android Security Bulletin—August 2024 | Android Open Source Project」において、Androidデバイスに影響する脆弱性の情報をまとめた2024年8月のセキュリティ情報を公開した。今回のアップデートには2024-08-01、2024-08-05の2つのセキュリティパッチレベルの情報が含まれており、合計46個の脆弱性の情報が公表されている。「CVE-2024-36971」として追跡される脆弱性は、標的型攻撃に悪用された可能性がある。

  • Android Security Bulletin—August 2024｜Android Open Source Project

    Android Security Bulletin—August 2024 ｜ Android Open Source Project

脆弱性の情報

Androidのセキュリティパッチレベルは、Android OSの脆弱性や悪意のあるコードによる攻撃に対処するため、Googleが提供するセキュリティパッチのマニフェスト。使用しているAndroidデバイス(スマートフォンやタブレット)に適用されたパッチレベルを調べれば、そのデバイスがどの脆弱性に対処済みかを確認できる。

今回公開されたパッチレベル2024-08-01には14個の脆弱性が、パッチレベル2024-08-05には32個の脆弱性が含まれている。これらのうち深刻度が「緊急(Critical)」と評価されている脆弱性は次のとおり。

  • CVE-2024-23350 - サービス運用妨害(DoS: Denial of Service)の脆弱性

対策

修正された脆弱性のうち、「CVE-2024-36971」はLinuxカーネルにおける解放後使用(UAF: use-after-free)の脆弱性。システム実行権限を持つ攻撃者は任意のコードを実行可能とされ、すでに悪用された可能性がある(参考：「Google fixes Android kernel zero-day exploited in targeted attacks」)。

使用しているAndroidデバイスをパッチレベル2024-08-05以降にアップデートすれば、上記脆弱性の影響を回避できる。アップデートはAndroid 12、12L、13、14で利用可能になっている。Android 11以前のデバイスはサポートが終了しているため、古いデバイスを利用しているユーザーはできるだけ速やかに新しいAndroidデバイスに乗り換えることが推奨される。