Trusted DesignCVE-2023-21237 の詳細
CVEの情報
説明:
In applyRemoteView of NotificationContentInflater.java, there is a possible way to hide foreground service notification due to misleading or insufficient UI. This could lead to local information disclosure with no additional execution privileges needed. User interaction is not needed for exploitation.Product: AndroidVersions: Android-13Android ID: A-251586912
CVE更新日: 2023-06-28 18:15:16.560000
CVSSバージョン: 3.1
CVSSスコア: 5.5
KEVの情報
KEV更新日: 2024-03-05
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.002660000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2023-21237に関する調査結果は以下の通りです。
1. 脆弱性の概要
CVE-2023-21237は、Androidのフォアグラウンドサービスに関連する情報開示の脆弱性です。この脆弱性を悪用することで、フォアグラウンドサービスが実行中であるにもかかわらず、その通知バッジを非表示にすることができます。これにより、ユーザーに知られることなくアプリケーションがバックグラウンドで動作し続ける可能性があります。
1.1 影響
この脆弱性により、アプリケーションは実行中のフォアグラウンドサービスに関する視覚的な通知なしに動作を継続できるため、情報開示のリスクがあります。特権やユーザー操作なしに悪用される可能性がありますが、攻撃者にはデバイスに既にインストールされたアプリが必要です。この脆弱性は、CISAのKnown Exploited Vulnerabilities (KEV)カタログに追加されており、限定的かつ標的型の悪用が確認されています。
1.2 深刻度
2. 対象となる環境
2.1 影響を受けるOSバージョン
Android 13がこの脆弱性の影響を受けるとされています。具体的には、2023年6月5日より前のAndroidセキュリティパッチレベルのバージョンが影響を受けます。
2.2 影響を受ける設定
特定のユーザー設定によって脆弱性の悪用が直接影響を受けるという記述は確認できませんでした。
3. 影響を受けた時の兆候
この脆弱性の本質は通知を隠蔽することにあるため、ユーザーが気付く兆候は非常に限定的です。通常のフォアグラウンドサービスであれば表示されるべき通知バッジが、特定のアプリに対して表示されない場合、この脆弱性によって悪用されている可能性があります。しかし、これはユーザーが意識的に各アプリのフォアグラウンドサービスの状況と通知表示を比較しない限り、識別は困難です。
4. 推奨対策
4.1 本対策
2023年6月以降のAndroidセキュリティパッチレベルを適用してください。Google Pixelデバイスの場合、2023年6月5日以降のセキュリティパッチレベルを適用することで、この問題は対処されます。
4.2 暫定回避策（緩和策）
古いビルドのデバイスを使用している場合は、フォアグラウンドサービス権限を持つアプリを見直すことが推奨されます。
参照したサイト