Trusted DesignCVE-2024-29745 の詳細
CVEの情報
説明:
there is a possible Information Disclosure due to uninitialized data. This could lead to local information disclosure with no additional execution privileges needed. User interaction is not needed for exploitation.
CVE更新日: 2024-04-05 20:15:08.253000
CVSSバージョン: 3.1
CVSSスコア: 5.5
KEVの情報
KEV更新日: 2024-04-04
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.004860000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2024-29745 の解説
1. 脆弱性の概要
CVE-2024-29745は、Android Pixelデバイスに影響を与える情報漏えいの脆弱性です。初期化されていないデータに起因し、ローカルでの情報漏えいを引き起こす可能性があります。攻撃には追加の実行権限は必要なく、ユーザーの操作も不要です。
1.1 影響 攻撃が成功した場合、ローカルで情報が漏えいする可能性があります。 CISAの既知の悪用された脆弱性（KEV）カタログに登録されており、実環境での悪用が確認されています。
1.2 深刻度 CVSS v3.1スコアは5.5（中程度）と評価されています。 CISA ADP Vulnrichmentでは高 severity (High severity) と記録されています。 CWE-908 (Use of Uninitialized Resource) に分類されます。
2. 対象となる環境
2.1 影響を受けるOSバージョン 影響を受ける具体的なAndroid OSのバージョンについては、検索結果から直接的な情報は見つかりませんでした。「Android Pixel」が影響を受けるデバイスとして言及されています。 一般的なAndroidデバイスではなく、Google Pixelデバイスに特化した脆弱性であると考えられます。
2.2 影響を受ける設定 不明。
3. 影響を受けた時の兆候
検索結果からは、CVE-2024-29745に特化した直接的な影響を受けた際の兆候に関する具体的な情報は得られませんでした。一般的に情報漏えいの兆候は外部から把握しにくい場合があります。
4. 推奨対策
4.1 本対策 ベンダーの指示に従って緩和策を適用するか、緩和策が利用できない場合は製品の使用を中止することがCISAによって求められています。 脆弱性を修正するためのパッチが提供されている場合は、速やかに適用することが推奨されます。
4.2 暫定回避策（緩和策） 不明。
他に解説すべき観点
CISA KEVカタログへの登録 CVE-2024-29745は、CISA（Cybersecurity and Infrastructure Security Agency）の既知の悪用された脆弱性（KEV）カタログに2024年4月4日に追加されました。 これは、この脆弱性が実際に悪用されていることを示しており、早急な対策が必要であることを意味します。 CISAは2024年4月25日を修正期限としています。
参照したサイト