Lenovo製タブレットでAndroid Verified Bootに既知の秘密テスト鍵が使用される問題

JVN iPediaは、複数のLenovo製タブレットがAndroid Verified Boot（AVB）に既知の秘密テスト鍵を使用して出荷されている問題を公開した。物理的に端末へアクセスできる攻撃者が細工したシステムイメージをインストールできる可能性があり、起動時の改ざん検証を回避されるおそれがある。本件の深刻度はCVSS 6.6（Medium）と評価されている。

脆弱性の詳細

複数のLenovo製タブレットでは、Android Verified Boot（AVB）で使用する公開鍵に対応する秘密テスト鍵が既知の状態で出荷されている。AVBは、端末の起動時にシステムイメージなどの真正性と完全性を検証する仕組みである。

秘密鍵が第三者に知られている場合、攻撃者はその鍵で署名した細工済みのシステムイメージを作成できる可能性がある。影響を受ける端末に物理的にアクセスできれば、そのイメージをインストールし、AVBによる起動時の検証を通過させられる可能性がある。

本件にはCVE-2026-92777が割り当てられている。JVNによるCVSS v3の基本値は6.6（警告）、CVSS v4の基本値は7.0（重要）である。リモートから直ちに悪用する攻撃ではなく、攻撃には影響を受ける端末への物理アクセスが必要とされている。

影響を受ける製品・バージョン

• 複数のLenovo製タブレット（報道などでは、K11 Gen 2、Tab P12、Yoga Tab Plusなどが挙げられている）。対象機種と修正バージョンは、Lenovoのセキュリティアドバイザリ（LEN-221035）で確認する必要がある。サポートが終了した製品には修正が提供されないため、後継製品への移行を検討する。

推奨される対策

• Lenovoの修正提供状況を確認し、更新を適用する：対象端末、修正ファームウェア、適用手順についてLenovoのサポート情報を確認し、提供されている更新を適用する。
• 物理アクセスを制限する：修正適用までの間、対象端末を第三者が持ち出したり操作したりできないよう管理する。
• ブートローダーの状態を確認する：端末のブートローダーがロックされていることを確認し、組織の管理方針に反するアンロックを禁止する。
• MDM等で端末を管理する：OSバージョン、セキュリティパッチレベル、更新適用状況を把握し、未更新端末を特定する。
• 機密情報の保存を見直す：修正状況を確認できるまで、対象端末への高機密情報の保存や重要システムへの認証情報の保持を最小限にする。

日本の中小企業が今すぐ取るべき行動

• 最優先：社内のLenovo製タブレットを棚卸しする：機種名、シリアル番号、OSビルド番号、利用者、業務利用の有無を一覧化し、対象機種を特定する。
• 次に：物理アクセスとブートローダーの状態を確認する：端末の持ち出し状況を確認し、ブートローダーがアンロックされていないか点検する。
• 更新の有無と適用状況を確認する：Lenovoが提供するファームウェアまたはOS更新を確認し、未適用端末には速やかに適用する。
• 当面の暫定策：重要業務から切り離す：修正の適用または安全性の確認が完了するまで、重要システムへのアクセスや機密情報の取り扱いを制限する。
• 対外調整：Lenovoまたは販売店に確認を依頼する：対象機種、修正の提供状況、適用手順を問い合わせ、回答と対応履歴を記録する。
• 再発防止：端末管理ルールを整備する：ブートローダーの状態確認、更新適用期限、物理的な持ち出し管理、未更新端末の利用制限を運用ルールに組み込む。

CSRIからの現場アドバイス

実際のペネトレーションテストでは、OSやアプリの脆弱性だけでなく、起動検証の設定、ブートローダーの状態、署名鍵の管理が適切かを確認する必要がある。既知の秘密テスト鍵が製品に残されている場合、物理アクセスを得た攻撃者が細工したシステムイメージを導入できる可能性があるため、端末の紛失・盗難対策も重要になる。

例えるなら、端末の起動を確認するための鍵が第三者にも知られているような状態である。端末が正常に起動していても、起動時検証を通過したイメージが必ずしも正規のものとは限らない。特に業務端末では、物理アクセスの制限と、ブートローダーおよびファームウェアの状態確認を組み合わせて管理したい。

まず社内で使っているLenovo製タブレットの機種、シリアル番号、更新状況、ブートローダーの状態を一覧化する。次にLenovoまたは販売店へ、対象機種に対する修正提供の有無と適用方法を確認する。修正が適用できるまでの間は、端末の持ち出しを制限し、重要業務や機密情報の取り扱いを一時的に見直す。

参照: 複数のLenovo製タブレットのAndroid Verified Boot機能において既知のテスト用鍵がそのまま使用されている問題