The Hacker Newsによると、Google が修正した Android の脆弱性のうち 3 つが標的型攻撃に悪用されているとのことです。 CVE-2023-26083 が割り当てられた脆弱性は、Bifrost、Avalon、および Valhall チップ用の Arm Mali GPU ドライバーに影響するメモリ リークです。

この脆弱性は、2022年12月にサムスン製デバイスにスパイウェアをインストールする攻撃で悪用されました。これは深刻であると考えられ、2023年4月にサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA - 米国）が連邦政府機関にパッチ命令を発行しました。

もう 1 つの重大な脆弱性 CVE-2021-29256 は重大度が高く、Bifrost および Midgard Arm Mali GPU カーネル ドライバーの特定のバージョンに影響を及ぼします。この脆弱性により、権限のないユーザーが機密データに不正にアクセスし、権限を最高レベルに昇格できるようになります。

3 番目に悪用された脆弱性は、Google のクロスプラットフォーム オープンソース 2D グラフィック ライブラリである Skia に存在する、重大度の高い CVE-2023-2136 です。これは当初、Chrome ブラウザのゼロデイ脆弱性として特定され、リモートの攻撃者がサンドボックスを回避して Android デバイスにリモートでコードを展開できるものでした。

Google の 7 月の Android セキュリティ パッチでは、Android システム コンポーネントに影響を及ぼす重大な脆弱性 CVE-2023-21250 も修正されています。この問題により、ユーザーの介入や追加の権限なしにリモートでコードが実行される可能性もあります。

これらのセキュリティ更新は 2 つのレベルで展開されます。 7 月 1 日の最初のパッチは Android のコア コンポーネントに重点を置き、フレームワークとシステム コンポーネントの 22 件のセキュリティ上の欠陥に対処します。 7月5日にリリースされた2番目のパッチでは、カーネルとクローズドソースコンポーネントのバグが修正され、カーネルコンポーネント、Armチップ、およびMediaTekとQualcommプロセッサのイメージング技術における20件の脆弱性が解決されました。

ただし、脆弱性の影響はサポートされている Android バージョン (11、12、13) を超えて広がる可能性があり、公式サポートが終了している古いバージョンのオペレーティング システムにも影響する可能性があります。

Google は、Pixel デバイスのコンポーネントにおける 14 件の脆弱性を修正するセキュリティ パッチもリリースしました。これらの重大な脆弱性のうち 2 つは、権限の昇格とサービス拒否攻撃を可能にします。