新たな脆弱性: 1 曲ですべての Android デバイスが危険にさらされる

Zimperium zLabs のセキュリティ研究者は、MP3 ファイルを開くだけで Android スマートフォンが脆弱になる可能性がある新しい「Stagefright」脆弱性を発見しました。

現在、この脆弱性を悪用する方法はいくつかあると言われています。攻撃方法の 1 つは、ほぼすべての Android スマートフォンに影響を及ぼします。これは、スマートフォンが 2008 年にリリースされた Android 1.0 以降のバージョンを実行している限り、影響を受けるためです。その他の攻撃方法は主に Android 5.0 以降のバージョンのシステムを対象としています。

「Stagefright 2.0 攻撃」と呼ばれるこの攻撃は、システムが MP3 または MP4 ファイル内のメタデータを処理する方法に関係しています。ユーザーの携帯電話の Android システムが、攻撃者が特別に作成した曲やビデオ ファイルをプレビューしている限り、攻撃者はユーザーの携帯電話でリモート コードを実行できます。

一部のメディア プレーヤーで使用されている libstagefright ライブラリに脆弱性が見つかったため、サードパーティ アプリケーションにも影響が及びます。本稿執筆時点では、セキュリティ コミュニティでは、この方法で実行された攻撃の実際の事例は発見されていません。

この脆弱性はまだ修正されていないため、概念実証コードは存在しないが、同社は解決策が公開され次第、Stagefright 検出アプリを更新する予定だ。

研究者らは8月15日にこの脆弱性をGoogleに報告し、 Googleは10月の第2週にNexusのセキュリティ情報でこの脆弱性を修正するパッチをリリースする予定だ。

小米科技、サムスン、HTC、ソニーなどの携帯電話メーカーも独自にアップグレードパッチをリリースする予定だが、具体的な計画はまだ明らかにしていない。

Motherboard によると、Android Marshmallow にはパッチが組み込まれるが、最新のデバイスに限定されるとのこと。

アップグレードを受けられなくなった古いデバイスの場合、状況はそれほど明るくありません。セキュリティホールは修正されるかもしれないが、ユーザーが手動で携帯電話を新しいバージョンにアップデートしない限り、いつでも脆弱になる可能性がある。

インターネット上でこのような大規模な攻撃が行われると、一見正当な曲でダウンロードコマンドを実行するなど、悪意のあるファイルを含む URL にユーザーがアクセスするだけで、壊滅的な結果を招くことになります。

今日頭条の青雲計画と百家曼の百+計画の受賞者、2019年百度デジタル著者オブザイヤー、百家曼テクノロジー分野最人気著者、2019年捜狗テクノロジー文化著者、2021年百家曼季刊影響力のあるクリエイターとして、2013年捜狐最優秀業界メディア人、2015年中国ニューメディア起業家コンテスト北京3位、2015年光芒体験賞、2015年中国ニューメディア起業家コンテスト決勝3位、2018年百度ダイナミック年間有力セレブなど、多数の賞を受賞しています。