Googleは、Pixelファームウェアに影響するセキュリティ欠陥がゼロデイとして野外で悪用されていると警告した。この高重大度の脆弱性は、CVE-2024-32896としてタグ付けされ、Pixelファームウェア内での権限昇格の問題として説明されている。Googleは攻撃の性質に関連する追加の詳細を共有していないが、「CVE-2024-32896が限定的かつ標的的な悪用の下にある可能性がある」との指摘がある。2024年6月のセキュリティアップデートでは、合計50のセキュリティ脆弱性が対処され、そのうち5つはQualcommチップセットの様々なコンポーネントに関連するものである。修正された主な問題には、モデムを影響するサービス拒否（DoS）問題、GsmSs、ACPM、Trustyに影響する多数の情報開示の欠陥が含まれる。アップデートは、Pixel 5a with 5G、Pixel 6a、Pixel 6、Pixel 6 Pro、Pixel 7、Pixel 7 Pro、Pixel 7a、Pixel 8、Pixel 8 Pro、Pixel 8a、Pixel FoldなどのサポートされているPixelデバイスで利用可能である。先月、Googleはブートローダーとファームウェアコンポーネント（CVE-2024-29745およびCVE-2024-29748）の2つのセキュリティ欠陥を解決し、これらは法医学会社によって機密データを盗むために武器化されていた。先週、ArmはBifrostおよびValhall GPUカーネルドライバーのメモリ関連の脆弱性（CVE-2024-4610）が活発に悪用されていることをユーザーに通知した。
【ニュース解説】
Googleは最近、Pixelデバイスのファームウェアに存在するセキュリティ脆弱性が、ゼロデイ攻撃として実際に悪用されていることを公表しました。この脆弱性は、CVE-2024-32896として識別され、権限昇格の問題として分類されています。つまり、攻撃者がこの脆弱性を利用することで、システム上での権限を不正に拡大し、通常はアクセスできない情報や機能にアクセスできるようになる可能性があります。
Googleはこの脆弱性についての詳細な情報は公開していませんが、限定的かつ標的的な攻撃の対象になっていることを示唆しています。これは、特定の個人や組織が狙われていることを意味し、広範囲にわたる一般的な攻撃ではない可能性が高いです。
2024年6月のセキュリティアップデートでは、この問題を含む合計50のセキュリティ脆弱性が修正されました。これらの脆弱性の中には、Qualcommチップセットに関連するものも含まれており、モデムのサービス拒否（DoS）問題や、GsmSs、ACPM、Trustyに影響する情報開示の欠陥などが修正されています。
このようなセキュリティアップデートは、ユーザーのデバイスを保護するために非常に重要です。特に、権限昇格の脆弱性は攻撃者にとって魅力的なターゲットとなり得るため、迅速な対応が求められます。ユーザーは、提供されるセキュリティアップデートを可能な限り早く適用することで、リスクを最小限に抑えることができます。
この事件は、デバイスのセキュリティを維持するためには、定期的なアップデートが不可欠であることを改めて示しています。また、セキュリティ研究者や開発者にとっては、新たな脆弱性の発見や報告、修正のプロセスがいかに重要かを強調しています。一方で、攻撃者が常に新しい攻撃手法を模索している現実も浮き彫りになり、セキュリティ対策の継続的な強化が求められています。
長期的な視点では、このようなセキュリティ脆弱性の発見と修正は、より安全なデジタル環境の構築に寄与します。しかし、攻撃者との間の「いたちごっこ」は続くため、企業や開発者、ユーザーは常に警戒を怠らず、最新のセキュリティ情報に注意を払う必要があります。
from Google Warns of Pixel Firmware Security Flaw Exploited as Zero-Day.
