Trusted DesignCVE-2020-11261 の詳細
CVEの情報
説明:
Memory corruption due to improper check to return error when user application requests memory allocation of a huge size in Snapdragon Auto, Snapdragon Compute, Snapdragon Connectivity, Snapdragon Consumer IOT, Snapdragon Industrial IOT, Snapdragon Mobile, Snapdragon Voice & Music, Snapdragon Wearables
CVE更新日: 2021-06-09 05:15:07.643000
CVSSバージョン: 3.1
CVSSスコア: 7.8
KEVの情報
KEV更新日: 2021-12-01
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.016040000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2020-11261に関する脆弱性の調査結果を以下に解説します。
1. 脆弱性の概要
CVE-2020-11261は、Qualcomm社のグラフィックスコンポーネントにおける不適切な入力検証の脆弱性です。攻撃者が細工したアプリケーションを使って大量のメモリ割り当てを要求することで、メモリ破損を引き起こす可能性があります。
1.1 影響
この脆弱性が悪用された場合、システムクラッシュ、サービス拒否（DoS）を引き起こすほか、場合によっては任意のコード実行につながる可能性があります。また、データ整合性が危険にさらされる可能性もあります。この脆弱性は、限定的かつ標的型で実世界において悪用された兆候が確認されています。
1.2 深刻度
CVSSスコアは8.4または7.8（高 severity）と評価されています。 この脆弱性の悪用には「ローカルアクセス」が必要であり、攻撃者が脆弱なデバイスに物理的にアクセスするか、他の手段（水飲み場型攻撃など）を用いて悪意のあるコードを送り込む必要があります。 米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は、本脆弱性を「既知の悪用されている脆弱性（Known Exploited Vulnerabilities; KEV）」カタログに追加しています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
Qualcommチップセットを使用するAndroidデバイスが影響を受けます。 具体的には、Qualcomm Snapdragon Auto、Snapdragon Compute、Snapdragon Connectivity、Snapdragon Consumer IOT、Snapdragon Industrial IOT、Snapdragon Mobile、Snapdragon Voice & Music、Snapdragon Wearablesなどのチップセットが影響を受ける可能性があります。 GoogleのAndroidセキュリティチームは、Pixel 3a (ビルドID: QQ3A.200705.002) で本脆弱性を確認しました。
2.2 影響を受ける設定
Qualcommのグラフィックスコンポーネントにおいて、ユーザーアプリケーションが巨大なメモリサイズを要求した際に、エラーを返すための不適切なチェックが行われることが原因です。
3. 影響を受けた時の兆候
検索結果には、具体的なシステムログや特定の兆候に関する詳細な情報は記載されていません。しかし、この脆弱性の影響としてシステムクラッシュ、サービス拒否、または任意のコード実行の可能性が挙げられているため、デバイスの予期せぬ再起動、アプリケーションの異常終了、パフォーマンスの著しい低下、あるいは不明なアプリケーションの実行などが兆候として考えられます。 Googleは、「CVE-2020-11261が限定的な標的型攻撃の対象である可能性を示す兆候がある」と述べていますが、攻撃の具体的な技術的詳細は開示していません。
4. 推奨対策
4.1 本対策
Qualcomm社は本脆弱性に対処しており、Googleは2021年1月のAndroidセキュリティアップデートで修正を公開しています。 影響を受けるデバイスのユーザーは、利用可能なセキュリティアップデートを速やかに適用することが強く推奨されます。CISAは、2022年6月1日までにベンダーの修正または緩和策を適用することを推奨しています。
4.2 暫定回避策（緩和策）
本脆弱性に対する具体的な暫定回避策は、検索結果には明示されていません。しかし、本脆弱性の悪用にはローカルアクセスまたは攻撃者が作成したアプリケーションの実行が必要であるため、信頼できないアプリケーションのインストールを避けることや、デバイスへの物理的なアクセスを厳しく管理することが一般的なセキュリティ対策として有効です。
5. 他に解説すべき観点
参照したサイト