AndroidでMMS経由でスマートフォンにアクセスできる脆弱性が発見されました

コンピューターセキュリティ会社のZIMPERIUMは、MMSメッセージまたはGoogleハングアウトを送信してコードを実行できるようにするAndroidカーネルの重大な脆弱性を検出しました。 概算によると、Androidシステムを実行しているデバイスのユーザーの95％（約9億5,000万人）がこの危険にさらされています。 そして、最も危険なのは、この脆弱性の使い方が非常に簡単なことです。被害者の携帯電話番号を知るだけです。











Joshua J. Drake（@jduck）は、Androidカーネルコードの最も深いコーナーを調査し、7つの重大な脆弱性を発見しました。これらの脆弱性は、デバイスの95％以上（約9億5,000万デバイス）の影響を受けます。 Drakeのレポートは、8月5日にBlack Hat USAで、8月7日にCON 23で発表されます。 多くのリモートコード実行方法が見つかっていますが、最悪の場合、ユーザーの介入は必要ありません。



攻撃者が必要とするのは携帯電話番号だけで、これにより、MMS経由で配信される特別に作成されたファイルを介して任意のコードをリモートで実行できます。 より成功した隠密攻撃の場合、ユーザーが気付く前にメッセージを削除できます。 これらの脆弱性は、被害者が何もする必要がないため、非常に危険です。 ユーザーがファイルまたはリンクを開く必要があるフィッシングとは異なります。



これらのスクリーンショットは、最新バージョンのAndroid 5.1.1がインストールされているNexus 5で撮影されました。







バージョン2.2からバージョン4.1までのAndroidを搭載したデバイスがサポートされています。



登録済みCVEのリスト：

1. CVE-2015-1538
2. CVE-2015-1539
3. CVE-2015-3824
4. CVE-2015-3826
5. CVE-2015-3827
6. CVE-2015-3828
7. CVE-2015-3829

Googleは数時間以内にこれらのエラーの修正をリリースしましたが、これらの脆弱性を修正するためにファームウェアを更新する必要があるため、問題は複雑であり、原則としてデバイスメーカーによって新しいモデルに対してのみリリースされます。