Google、実際に悪用されたAndroidのゼロデイ 脆弱性を含む62件の脆弱性を修正

Googleは2025年4月7日、Androidの最新セキュリティアップデートを公開し、合計62件の脆弱性への修正を行いました。

その中でも特に注目すべきは、実際に悪用が確認された2件のゼロデイ脆弱性（CVE-2024-53150、CVE-2024-53197）への対処です。これらは共にLinuxカーネルのUSBオーディオドライバ（ALSA）に関連する高リスクの脆弱性で、追加の権限やユーザー操作なしに権限昇格や情報漏洩を引き起こす恐れがあります。

脆弱性 CVE-2024-53197の概要

​LinuxカーネルのUSBオーディオドライバ（Advanced Linux Sound Architecture、ALSA）に存在する高リスクの権限昇格の脆弱性です。この脆弱性は、特定の条件下で攻撃者がデバイスのロックを解除し、不正にデータを抽出するために悪用されていました

Googleによると、これらの脆弱性は限定的な標的型攻撃で実際に利用されており、特にCVE-2024-53197はセルビアの活動家に対する攻撃で用いられた例が確認されています。攻撃には、イスラエルのフォレンジック企業が開発したツールが関与していたとされ、国家的背景の関与も示唆されます。

脆弱性 CVE-2024-53150の概要

Linux カーネルの USB オーディオ ドライバーに影響します。この脆弱性が実際の攻撃でどのように悪用されたか、誰が悪用したか、誰が攻撃の標的になった可能性があるかについての詳細は不明です。

セキュリティ専門家は、今後もAndroidデバイスが標的となる攻撃の増加が見込まれるとしており、ユーザーに対して定期的なOSアップデートと信頼できるアプリの利用を呼びかけています。