Trusted DesignCVE-2023-21492 の詳細
CVEの情報
説明:
Kernel pointers are printed in the log file prior to SMR May-2023 Release 1 allows a privileged local attacker to bypass ASLR.
CVE更新日: 2023-05-04 21:15:10.070000
CVSSバージョン: 3.1
CVSSスコア: 4.4
KEVの情報
KEV更新日: 2023-05-19
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.025540000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2023-21492について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2023-21492は、Samsungモバイルデバイスに存在する情報漏洩の脆弱性です。SMR May-2023 Release 1より前のバージョンで、カーネルポインタがログファイルに記録されるという問題です。これにより、特権を持つローカル攻撃者がASLR（Address Space Layout Randomization）をバイパスすることが可能になります。 この脆弱性は、CWE-532（ログファイルへの機密情報の挿入）に分類されます。
1.1 影響
この脆弱性が悪用されると、特権を持つローカル攻撃者がシステムメモリのレイアウトに関する情報を取得し、ASLR保護を迂回できます。 ASLRバイパスは、その後のコード実行攻撃を容易にするための重要なステップとなります。 機密性への影響は「高」ですが、完全性および可用性への影響は「なし」と評価されています。 組織にとっては、機密情報への不正アクセスにつながるリスクがあります。
1.2 深刻度
この脆弱性の深刻度は中程度（Medium）であり、CVSSv3.1の基本スコアは4.4です（CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N）。 米国サイバーセキュリティ・社会基盤安全保障庁（CISA）の既知の悪用されている脆弱性（KEV）カタログに掲載されており、実際の攻撃で悪用が確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
Samsung製モバイルデバイスのAndroidバージョン11、12、および13が影響を受けます。
2.2 影響を受ける設定
SMR May-2023 Release 1より前のファームウェアバージョンが影響を受けます。 脆弱性を悪用するには、デバイスへのローカルアクセスと、ログファイルへのアクセスに必要な高い権限が必要です。 ユーザーの操作は不要です。
3. 影響を受けた時の兆候
この脆弱性は、カーネルポインタがログファイルに記録されるという情報漏洩であるため、ユーザーが直接認識できるような目に見える兆候は不明です。影響の有無を確認するには、高い権限でシステムログにアクセスし、異常なカーネルポインタ情報が含まれていないかを分析する必要があります。
4. 推奨対策
4.1 本対策
Samsungが提供する最新のセキュリティアップデートを適用することが恒久的な対策です。具体的には、SMR May-2023 Release 1以降のバージョンにアップデートすることで、システムログファイルへのカーネルポインタの記録が停止されます。 CISAは、連邦政府機関に対し、2023年6月9日までにこの脆弱性への対処を義務付けていました。
4.2 暫定回避策（緩和策）
現時点では、この脆弱性に関する公開された概念実証（PoC）は利用可能ではありませんが、実際の攻撃で悪用が確認されています。
その他解説すべき観点
参照したサイト