Trusted Design

解説:

CVE-2023-35674について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2023-35674は、Androidフレームワークにおける権限昇格の脆弱性です。 WindowState.java の onCreate メソッドにおけるロジックエラーに起因します。 この脆弱性により、バックグラウンドにあるアプリがアクティビティを起動することが可能になり、ローカルでの権限昇格につながる可能性があります。 悪用には追加の実行権限やユーザーの操作は必要ありません。 この脆弱性は、すでに実環境で悪用が確認されているゼロデイ脅威です。

1.1 影響

ローカルでの権限昇格が可能です。

1.2 深刻度

• CVSS v3.1 基本評価値: 7.8 (High)
• CVSS v3.1 ベクトル: AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
• EPSS (Exploit Prediction Scoring System) 悪用可能性の確率: 2.6%
• CISAの既知の悪用されている脆弱性（KEV）カタログに掲載されています。
• ENISA EUVDでは、Google AndroidによりCVSS 8.8 (v3.1) が割り当てられています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Android 11、12、12L、および13が影響を受けます。

2.2 影響を受ける設定

脆弱性を悪用するためには、デバイスにアプリがすでにインストールされていることが前提となります。 その他に特定の「影響を受ける設定」は報告されていません。

3. 影響を受けた時の兆候

CVE-2023-35674に特化した具体的な侵害の兆候（Indicators of Compromise: IoC）は、現時点の検索結果からは不明です。

4. 推奨対策

4.1 本対策

• 2023年9月のAndroidセキュリティパッチレベル（ASPL）を適用してください。特に、2023-09-01または2023-09-05のパッチが該当します。
• ベンダーの指示に従って緩和策を適用してください。

4.2 暫定回避策（緩和策）

• アップデートが提供されない古いデバイスを使用している場合、デバイスのアップグレードを検討するか、これらの古いデバイスでの企業アクセスを制限することを検討してください。
• パッチが提供されない端末では、すでにインストールされているアプリが悪用の前提条件となるため、不要なアプリを削除してください。
• 緩和策が利用できない場合は、製品の使用を中止してください。

参照したサイト

• NVD-CVE-2023-35674 - NIST
• ASPL 2023-09-01 / CVE-2023-35674 | Threat Intel - Lookout, Inc.
• CVE-2023-35674: Android — an app that starts itself from the background | SCRTY:CRDS
• CVE-2023-35674 – Android Framework Privilege Escalation… - UK Cyber Defence
• CVE-2023-35674 — Android Framework Privilege Escalation Vulnerability - eVulnAble
• Android のセキュリティに関する公開情報 - 2023 年 9 月