Android のセキュリティに関する公開情報 - 2020 年 3 月

2020 年 3 月 2 日公開 | 2020年3月9日更新

Android セキュリティ情報には、Android デバイスに影響を与えるセキュリティ脆弱性の詳細が含まれています。セキュリティ パッチ レベル 2020-03-05 以降では、これらすべての問題に対処します。デバイスのセキュリティ パッチ レベルを確認する方法については、 「 Android バージョンを確認して更新する 」を参照してください。

Android パートナーには、公開の少なくとも 1 か月前にすべての問題が通知されます。これらの問題に対するソース コード パッチは Android オープン ソース プロジェクト (AOSP) リポジトリにリリースされており、この公開情報からリンクされています。この公開情報には、AOSP 以外のパッチへのリンクも含まれています。

これらの問題のうち最も深刻なものは、メディア フレームワークに重大なセキュリティ脆弱性があり、リモート攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。重大度の評価は、プラットフォームとサービスの緩和策が開発目的で無効になっている場合、または回避に成功した場合を想定して、脆弱性の悪用が影響を受けるデバイスに与える可能性のある影響に基づいています。

Android プラットフォームのセキュリティを向上させるAndroid セキュリティ プラットフォーム保護と Google Play プロテクトの詳細については、 「Android および Google Play プロテクトの軽減策」セクションを参照してください。

Android および Google サービスの軽減策

これは、Android セキュリティ プラットフォームとGoogle Play プロテクトなどのサービス保護によって提供される緩和策の概要です。これらの機能により、Android でセキュリティの脆弱性が悪用される可能性が低くなります。

• Android プラットフォームの新しいバージョンの機能強化により、Android 上の多くの問題の悪用はさらに困難になっています。すべてのユーザーに、可能な限り Android の最新バージョンに更新することをお勧めします。
• Android セキュリティ チームは、 Google Play プロテクトを通じて悪用を積極的に監視し、有害な可能性のあるアプリケーションについてユーザーに警告します。 Google Play プロテクトは、 Google モバイル サービスを備えたデバイスではデフォルトで有効になっており、Google Play 以外からアプリをインストールするユーザーにとって特に重要です。

2020-03-01 セキュリティ パッチ レベルの脆弱性の詳細

以下のセクションでは、2020-03-01 パッチ レベルに適用される各セキュリティ脆弱性の詳細を説明します。脆弱性は、影響を受けるコンポーネントの下にグループ化されます。問題は以下の表で説明されており、CVE ID、関連参照、脆弱性の種類、重大度、更新された AOSP バージョン (該当する場合) が含まれています。利用可能な場合は、AOSP 変更リストなど、問題に対処した公開変更をバグ ID にリンクします。複数の変更が 1 つのバグに関連する場合、追加の参照はバグ ID に続く番号にリンクされます。 Android 10 以降を搭載したデバイスは、 Google Play システム アップデートだけでなくセキュリティ アップデートも受信する場合があります。

フレームワーク

このセクションの脆弱性により、悪意のあるローカル アプリケーションが、アプリケーション データを他のアプリケーションから隔離するオペレーティング システムの保護をバイパスできる可能性があります。

メディアフレームワーク

このセクションの最も深刻な脆弱性により、リモート攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。

システム

このセクションの最も深刻な脆弱性により、悪意のあるローカル アプリケーションが追加の権限にアクセスするためにユーザーの操作要件を回避できる可能性があります。

Google Play システムアップデート

次の問題は、 Project Mainlineコンポーネントに含まれています。

2020-03-05 セキュリティ パッチ レベルの脆弱性の詳細

以下のセクションでは、2020-03-05 パッチ レベルに適用される各セキュリティ脆弱性の詳細を説明します。脆弱性は影響を受けるコンポーネントごとにグループ化され、CVE、関連参照、脆弱性の種類、重大度、コンポーネント (該当する場合)、更新された AOSP バージョン (該当する場合) などの詳細が含まれます。利用可能な場合は、問題に対処した公開変更をバグ ID (AOSP 変更リストなど) にリンクします。複数の変更が 1 つのバグに関連する場合、追加の参照はバグ ID に続く番号にリンクされます。

カーネルコンポーネント

このセクションの最も深刻な脆弱性により、ローカルの攻撃者が特別に細工された USB デバイスを使用して、特権プロセスのコンテキスト内で任意のコードを実行できる可能性があります。

FPC部品

このセクションの最も深刻な脆弱性により、悪意のあるローカル アプリケーションが追加の権限にアクセスするためにユーザーの操作要件を回避できる可能性があります。

MediaTek コンポーネント

クアルコムのコンポーネント

これらの脆弱性は Qualcomm コンポーネントに影響し、適切な Qualcomm セキュリティ情報またはセキュリティ アラートで詳細が説明されています。これらの問題の重大度評価は、クアルコムによって直接提供されます。

クアルコムのクローズドソース コンポーネント

これらの脆弱性は Qualcomm のクローズド ソース コンポーネントに影響し、適切な Qualcomm セキュリティ情報またはセキュリティ アラートで詳細に説明されています。これらの問題の重大度評価は、クアルコムによって直接提供されます。

よくある質問と回答

このセクションでは、このセキュリティ情報を読んだ後に発生する可能性のある一般的な質問に答えます。

1. これらの問題に対処するためにデバイスが更新されているかどうかを確認するにはどうすればよいですか?

デバイスのセキュリティ パッチ レベルを確認する方法については、 「 Android バージョンを確認して更新する 」を参照してください。

• セキュリティ パッチ レベル 2020-03-01 以降では、セキュリティ パッチ レベル 2020-03-01 に関連するすべての問題が解決されます。
• 2020-03-05 以降のセキュリティ パッチ レベルは、2020-03-05 のセキュリティ パッチ レベルおよび以前のすべてのパッチ レベルに関連するすべての問題に対処します。

これらのアップデートを組み込むデバイス メーカーは、パッチ文字列レベルを次のように設定する必要があります。

• [ro.build.version.security_patch]:[2020-03-01]
• [ro.build.version.security_patch]:[2020-03-05]

Android 10 以降の一部のデバイスでは、Google Play システム アップデートには 2020-03-01 セキュリティ パッチ レベルに一致する日付文字列が含まれます。セキュリティ更新プログラムのインストール方法の詳細については、この記事を参照してください。

2. このセキュリティ情報には 2 つのセキュリティ パッチ レベルがあるのはなぜですか?

このセキュリティ情報には 2 つのセキュリティ パッチ レベルがあり、Android パートナーはすべての Android デバイスで同様の脆弱性のサブセットをより迅速に修正できる柔軟性を備えています。 Android パートナーは、このセキュリティ情報にあるすべての問題を修正し、最新のセキュリティ パッチ レベルを使用することをお勧めします。

• 2020-03-01 のセキュリティ パッチ レベルを使用するデバイスには、そのセキュリティ パッチ レベルに関連するすべての問題と、以前のセキュリティ情報で報告されたすべての問題の修正が含まれている必要があります。
• 2020-03-05 以降のセキュリティ パッチ レベルを使用するデバイスには、この (および以前の) セキュリティ情報に該当するすべてのパッチが含まれている必要があります。

パートナーは、対処しているすべての問題の修正を 1 つのアップデートにバンドルすることをお勧めします。

3. [タイプ] 列のエントリは何を意味しますか?

脆弱性の詳細テーブルの「タイプ」列のエントリは、セキュリティ脆弱性の分類を参照します。

4. [参考文献] 列のエントリは何を意味しますか?

脆弱性の詳細表の「参照」列の下のエントリには、参照値が属する組織を識別するプレフィックスが含まれる場合があります。

5. [参照]列の Android バグ ID の横にある * は何を意味しますか?

一般に公開されていない問題には、 「参考」列の Android バグ ID の横に * が付いています。この問題のアップデートは通常、 Google デベロッパー サイトから入手できる Pixel デバイス用の最新バイナリ ドライバーに含まれています。

6. セキュリティの脆弱性がこのセキュリティ情報と、Pixel のセキュリティ情報などのデバイス/パートナーのセキュリティ情報に分かれているのはなぜですか?

このセキュリティ情報に記載されているセキュリティの脆弱性は、Android デバイスで最新のセキュリティ パッチ レベルを宣言する必要があります。デバイス/パートナーのセキュリティ情報に文書化されている追加のセキュリティ脆弱性は、セキュリティ パッチ レベルを宣言するために必要ありません。 Android デバイスおよびチップセットのメーカーも、 Google 、 Huawei 、 LGE 、 Motorola 、 Nokia 、またはSamsungなどの自社製品に固有のセキュリティ脆弱性の詳細を公開する場合があります。

バージョン