CVE詳細 - CVE-2024-29748-

CVE-2024-29748 の詳細

CVEの情報

説明:
there is a possible way to bypass due to a logic error in the code. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is needed for exploitation.

CVE更新日: 2024-04-05 20:15:08.407000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2024-04-04

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.006760000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2024-29748について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2024-29748は、Google Pixel ファームウェアにおける高度な特権昇格の脆弱性です。これは、コード内のロジックエラーにより、デバイスの工場出荷時リセットが中断され、消去されるべきデータがデバイスに残ってしまう可能性があるという問題です。この脆弱性は、限定的かつ標的型での悪用が既に確認されています。

1.1 影響

本脆弱性が悪用された場合、攻撃者はローカルで特権を昇格させる可能性があります。特に、デバイス管理者アプリによってトリガーされた工場出荷時リセットが、デバイス上のコードによって中断される可能性があり、その結果、機密データがデバイスに残留する危険性があります。

1.2 深刻度

深刻度: 高 (High severity)
CVSSv3 基本評価: 7.8 (HIGH)
攻撃元区分: ローカル (LOCAL)
攻撃条件の複雑さ: 低 (LOW)
攻撃に必要な特権レベル: 低 (Low)
利用者の関与: 必要 (User interaction is needed for exploitation)

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はGoogle Pixelデバイスに影響を与えます。

修正は、Pixelデバイス向けには2024年4月のセキュリティアップデートに含まれています。
GrapheneOSによると、Android 14 QPR3の6月アップデートでPixelデバイスに修正が適用され、Android 15で他のAndroidデバイスにも修正が適用される予定です。

2.2 影響を受ける設定

特定の「影響を受ける設定」は明示されていませんが、デバイス管理者アプリによる工場出荷時リセットの処理にロジックエラーが存在するため、デバイス管理者機能が有効になっている環境が関連する可能性があります。

3. 影響を受けた時の兆候

直接的な兆候は詳細に記述されていませんが、工場出荷時リセットを試みてもデータが完全に消去されず、デバイス上に機密情報が残ってしまうことが考えられます。攻撃が限定的かつ標的型であることから、一般ユーザーが自ら兆候を検知することは難しい可能性があります。

4. 推奨対策

4.1 本対策

セキュリティアップデートの適用: Google Pixelユーザーは、2024年4月のPixelセキュリティアップデートを速やかに適用することが推奨されます。Googleは、2024年4月1日または2024年4月5日のセキュリティパッチレベルで本脆弱性に対処しました。
アップデート手順: Pixelユーザーは、「設定」>「セキュリティとプライバシー」>「システムとアップデート」>「セキュリティアップデート」に移動し、「インストール」をタップしてデバイスを再起動することでアップデートを完了できます。

4.2 暫定回避策（緩和策）

デバイスを第三者に渡すなど、管理下から外す前に工場出荷時リセットを行う必要がある場合は、リセットが「開始された」ことを確認するだけでなく、データが「完全に消去された」ことを確認するようにしてください。

その他に解説すべき観点

CISA KEVへの追加: 本脆弱性 (CVE-2024-29748) は、CISA (Cybersecurity and Infrastructure Security Agency) のKnown Exploited Vulnerabilities (KEV) カタログに追加されており、活発な悪用が確認されていることを示しています。これは、組織にとって早急な対処が必要であることを意味します。
悪用者: フォレンジック企業が、デバイスのロック解除やデータアクセスを目的として本脆弱性を悪用したことが報告されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る