Trusted DesignCVE-2023-33063 の詳細
CVEの情報
説明:
Memory corruption in DSP Services during a remote call from HLOS to DSP.
CVE更新日: 2023-12-05 03:15:12.067000
CVSSバージョン: 3.1
CVSSスコア: 7.8
KEVの情報
KEV更新日: 2023-12-05
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.006720000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2023-33063について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2023-33063は、Qualcomm Snapdragonプラットフォームに存在する高 severity のUse-After-Free (UAF) 脆弱性（CWE-416）です。High-Level Operating System (HLOS) からDigital Signal Processor (DSP) へのリモートコール中に、DSP Servicesにおけるメモリ破損を引き起こします。
1.1 影響
この脆弱性が悪用されると、攻撃者はDSPコンテキスト内で任意のコードを実行したり、特権を昇格させたり、システム整合性を侵害したり、機密情報を漏洩させたり、DSPサービスまたはデバイス全体をクラッシュさせてサービス拒否を引き起こす可能性があります。機密性、完全性、可用性の全てに影響を与えます。
1.2 深刻度
CVSS v3.1スコアは7.8 (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) であり、深刻度は「高 (High)」と評価されています。 また、CISAのKEV (Known Exploited Vulnerabilities) カタログに掲載されており、実際に悪用が確認されている脆弱性です。
2. 対象となる環境
Qualcomm Snapdragonの多くのプラットフォームおよび関連製品が影響を受けます。これには、Snapdragon 8 Genシリーズ、7シリーズ、6シリーズなどのモバイルプラットフォーム、IoTモデム、車載プラットフォーム、ウェアラブルデバイス、FastConnectおよびWCNシリーズなどの接続モジュールが含まれます。
2.1 影響を受けるOSバージョン
この脆弱性はQualcommのチップセットに存在するため、これらを搭載したAndroidデバイスが影響を受けます。修正はAndroid Security Patch Level (ASPL) 2023-12-05で提供されています。 したがって、これより古いASPLを実行しているAndroidデバイスが影響を受けます。
2.2 影響を受ける設定
攻撃には低い権限とデバイスへのローカルアクセスが必要ですが、ユーザーの操作は不要です。
3. 影響を受けた時の兆候
この脆弱性は「現時点で悪用が確認されている (exploited in the wild)」とされていますが、一般的なユーザーが直接認識できる具体的な兆候については、現時点では明確な情報がありません。 攻撃成功時の兆候としては、デバイスの異常終了（クラッシュ）、予期せぬ動作、機密情報の漏洩などが考えられますが、これらは本脆弱性特有のものではありません。
4. 推奨対策
4.1 本対策
Qualcommは、この脆弱性に対処するためのセキュリティアップデートを公開しており、影響を受けるOEM（機器メーカー）には、できるだけ早くセキュリティアップデートを展開するよう強く推奨しています。 Androidデバイスの場合、Android Security Patch Level (ASPL) 2023-12-05に含まれるソフトウェアアップデートを適用することで修正が可能です。 ベンダーから提供される修正プログラムを速やかに適用することが重要です。
4.2 暫定回避策（緩和策）
ドライバーの脆弱性は通常、マルウェア感染などを通じてローカルアクセスを必要とすることが多いため、Androidデバイスの所有者は、ダウンロードするアプリの数を制限し、信頼できるリポジトリからのみアプリを入手することが推奨されます。 また、Lookoutは、デバイスの「Patch Level Out-of-Date」ポリシーを有効にし、フィッシングおよびコンテンツ保護機能を有効にすることを推奨しています。
他に解説すべき観点
参照したサイト