Googleのセキュリティ研究者でつくるプロジェクト・ゼロによると、サムスンセミコンダクター社のExynosモデムに18件のゼロディ脆弱性があり、うち4件はインターネットからベースバンドへのリモートコード実行を可能にする重大なものだということです。
コネクテッドカーにも影響か
影響を受けるデバイスは、サムスンGalaxyのS22、M33、M13、M12、A71、A53、A33、A21s、A13、A12、および A04 シリーズ、VivoのS16、S15、S6、X70、X60、X30 シリーズを含むモバイルデバイス、GoogleのPixel6およびPixel7シリーズのデバイス、そしてExynos Auto T5123チップセットを使用しているすべての車両だということです。
Vivoは中国・広東省に本社を置くスマートフォンメーカーでディスプレイに指紋センサーを世界で初めて内臓したことでも知られているメーカーだということです。また、Exynos Auto T5123は5G基盤の車載通信サービスを提供する車載通信用チップで、最大5.1Gbpsの高速対応により、車内で高画質の動画ストリーミングやビデオ通話など様々なサービスが利用できるようになるという次世代コネクテッドカー向けのチップになるようです。
インターネットからベースバンドへのリモートコード実行が可能ということは、遠隔で任意のプログラムコードを実行することが出来るということですから、スマホなどのデバイスやコネクテッドカーの車載通信サービスが外部から制御される恐れがあると言えます。スマホについては、標的とするスマホの電話番号がわかれば外部からの制御が可能になるということです。
これらの脆弱性は、デバイスの設定でWi-Fi通話とVoice-over-LTE(VoLTE)をオフにすれば悪用されるリスクはなくなるということです。また、Googleは3月のセキュリティアップデートで、Pixelのアップデート情報を公開し、この脆弱性に対処したことを明らかにし、Pixelの対象機器を使用しているユーザーにアップデートするように求めています。
プロジェクト・ゼロ報告、リスク高く詳細開示控える
外部から制御を可能にする恐れがある4つの脆弱性のうち、1つについてはCVE-2023-24033として登録されており、NVDはこの脆弱性について「Samsung Exynos Modem 5123、Exynos Modem 5300、Exynos 980、Exynos 1080、および Exynos Auto T512 ベースバンド モデム チップセットは、Session Description Protocol (SDP) モジュールで指定されたフォーマット タイプを適切にチェックしないため、サービス拒否につながる可能性がある」と説明しています。他の3つの脆弱性については、まだCVEの番号が割り振られていないようです。
Googleでは、脆弱性開示ポリシーに従って脆弱性の詳細情報を開示しており、プロジェクト・ゼロが新しい脆弱性を報告した場合、詳細な技術的な説明を関連するベンダーやオープンソースプロジェクトに送信した後、原則90日後に脆弱性に関する詳細情報を開示しているということです。90日間はベンダーなどがパッチをユーザーに提供する期間ということのようです。しかし、今回の4つの深刻な脆弱性に関しては、「脆弱性が開示された場合、攻撃者が防御者よりも大幅に利益を得ると評価」されたため、例外として4件の脆弱性については詳細な情報を開示することを控えているということです。
今回、プロジェクト・ゼロが明らかにした未知の脆弱性は全部で18件ですが、外部からの制御を可能にする4件をのぞいた他の14件に関しては、それら脆弱性を悪用した攻撃をするにはデバイスにローカルでアクセスできるか、モバイルデバイスネットワーク事業者に悪意がないと攻撃には至らないことから深刻なものではないとしています。
■出典
https://googleprojectzero.blogspot.com/2023/03/multiple-internet-to-baseband-remote-rce.html
https://ja.wikipedia.org/wiki/Vivo_(%E4%B8%AD%E5%9B%BD%E3%81%AE%E4%BC%81%E6%A5%AD)
https://semiconductor.samsung.com/jp/processor/automotive-processor/exynos-auto-t5123/
https://source.android.com/docs/security/bulletin/pixel/2023-03-01?hl=ja
https://googleprojectzero.blogspot.com/p/vulnerability-disclosure-faq.html#exceptions