Trusted DesignCVE-2019-16256 の詳細
CVEの情報
説明:
Some Samsung devices include the SIMalliance Toolbox Browser (aka S@T Browser) on the UICC, which might allow remote attackers to retrieve location and IMEI information, or retrieve other data or execute certain commands, via SIM Toolkit (STK) instructions in an SMS message, aka Simjacker.
CVE更新日: 2019-09-12 13:15:10.327000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.049490000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2019-16256について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2019-16256は、「Simjacker」として知られる脆弱性であり、SIMalliance Toolbox Browser (S@T Browser) に存在するコマンドインジェクションの脆弱性です。一部のSamsungデバイスのUICC（SIMカード）に搭載されているS@T Browserが影響を受けます。攻撃者はSMSメッセージ内のSIM Toolkit (STK) 命令を介して、リモートからこの脆弱性を悪用する可能性があります。
1.1 影響
この脆弱性が悪用された場合、遠隔の攻撃者は以下の情報を取得したり、特定のコマンドを実行したりする可能性があります。
この脆弱性は機密性に影響を与え、特権管理の不備に起因するとされています。
1.2 深刻度
この脆弱性はCISA（米国サイバーセキュリティ・インフラセキュリティ庁）のKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実際に悪用が確認されていることを意味します。
2. 対象となる環境
2.1 影響を受けるOSバージョン
一部のSamsungデバイスが影響を受けるとされていますが、特定のOSバージョンについての詳細な記述は確認できませんでした。 この脆弱性はUICC（SIMカード）上のSIMalliance Toolbox Browserに関連するため、デバイスのOSバージョンよりもS@T Browserが搭載されているかどうかが重要です。
2.2 影響を受ける設定
SIMalliance Toolbox Browser (S@T Browser) がUICCに搭載されているデバイスが影響を受けます。
3. 影響を受けた時の兆候
この脆弱性が悪用された際の具体的な兆候については、明確な情報が確認できませんでした。
4. 推奨対策
4.1 本対策
ベンダーの指示に従ってアップデートを適用することが推奨されています。 CISAは、連邦政府機関に対して2022年5月3日までにこの脆弱性に対処するよう義務付けていました。
4.2 暫定回避策（緩和策）
明確な暫定回避策の記述は確認できませんでした。「影響を受けるオブジェクトを代替製品に置き換える」ことが提案される場合もありますが、これは一般的な対策であり、具体的な緩和策ではありません。
5. その他の解説すべき観点
参照したサイト