Andoridのメディア再生サービスに脆弱性、リモートから乗っ取りの可能性も（JVN）

IPAおよびJPCERT/CCは、Googleが提供するAndroid 向けメディア再生サービス「Stagefright」にリモートの攻撃者によるコード実行を可能にする、整数オーバーフローを含む複数の脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

2015.7.30 Thu 15:06

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は7月29日、Googleが提供するAndroid 向けメディア再生サービス「Stagefright」にリモートの攻撃者によるコード実行を可能にする、整数オーバーフローを含む複数の脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。CVSSによるBase Scoreは5.8。

「Android 2.2（Froyo）から Android 5.1.1_r5（Lollipop）より前のバージョンまで」は、動画閲覧時のタイムラグを短縮するために、ユーザが閲覧しようとする前から自動的に動画データの処理を始めることが原因で、複数の脆弱性が存在する。これらの脆弱性が悪用されると、リモートの攻撃者によってAndroid端末上でコードを実行される可能性がある。JVNでは、Googleはこれらの脆弱性を修正した「Android 5.1.1_r5（patch 1, 2, 3）」をリリースしているが、端末への適用は携帯電話キャリアによるため、アップデートに関してはキャリアか端末の製造元に問い合わせるよう呼びかけている。

《吉澤亨史（ Kouji Yoshizawa ）》