クアルコム、脆弱性を複数修正:ゼロデイ、CVSS 9.8のRCE欠陥など(CVE-2024-43047、CVE-2024-33066他)
Securityonline[.]info – October 7, 2024
クアルコムが2024年10月のセキュリティブレティンを公開。その中で、広く使用されているSnapdragonモバイルプラットフォームやFastConnectソリューションなど、同社製の幅広いチップセットに影響を与える重大な複数の脆弱性について取り上げた。
これらの脆弱性はWLAN、DSP、グラフィック処理などのさまざまなシステムコンポーネントに影響を与え、世界中のユーザーに重大なセキュリティリスクをもたらす。
今回取り上げられた脆弱性の一部は以下の通り。
- CVE-2024-43047(CVSS:7.8)は、DSPサービスにおける解放済みメモリ使用の脆弱性で、HLOSメモリのメモリマップをメンテナンスする際にメモリが破損してしまうというもの。Googleの脅威分析グループ(TAG)は、この欠陥が限定的な標的型攻撃に悪用されている可能性があるとして注意を呼びかけている。クアルコムは同セキュリティブレティンの中で、「FASTRPCドライバに影響を与えるこの問題のパッチは、影響を受けるデバイスにできるだけ早くアップデートを適用するよう強く推奨する内容の案内を添えてOEMに提供されている」と記した。
- CVE-2024-33066(CVSS:9.8)は、WLANリソースマネージャにおけるリモートコード実行の脆弱性。不適切な入力検証に起因するもので、ログファイルを任意の場所にリダイレクトすることでメモリの破壊を可能にする。攻撃者がこの脆弱性を悪用することで、有害なコードが実行され、デバイスが完全に乗っ取られる恐れがある。
当該セキュリティブレティンでは、このほかにもCVE-2024-23369(メモリ破損の脆弱性)やCVE-2024-33064(バッファオーバーリードの脆弱性)などの欠陥にも言及している。
クアルコムはOEMに対し、悪用リスクからユーザーを保護するために必要なパッチをできるだけ早く実装することを強く推奨した。ユーザーは、デバイスを最新のファームウェアバージョンに更新し、各デバイスメーカーに問い合わせて特定のモデルのパッチの状態を確認することが望ましい。
ランサムウェアレポート無料配布中!
以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート『2024 Ransomware? What Ransomware?』の日本語訳バージョンを無料でダウンロードいただけます。
<レポートの主なトピック>
- 主なプレーヤーと被害組織
- データリークと被害者による身代金支払い
- ハクティビストからランサムウェアアクターへ
- 暗号化せずにデータを盗むアクターが増加
- 初期アクセス獲得に脆弱性を悪用する事例が増加
- 公に報告された情報、および被害者による情報開示のタイムライン
- ランサムウェアのリークサイト – ダークウェブ上での犯行声明
- 被害者による情報開示で使われる表現
- ランサムウェアに対する法的措置が世界中で増加
- サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
- 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠