Trusted DesignCVE-2025-21479 の詳細
CVEの情報
説明:
Memory corruption due to unauthorized command execution in GPU micronode while executing specific sequence of commands.
CVE更新日: 2025-06-03 07:15:20.933000
CVSSバージョン: 3.1
CVSSスコア: 8.6
KEVの情報
KEV更新日: 2025-06-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.008430000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2025-21479について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2025-21479は、QualcommのGPUマイクロノードにおける不正なコマンド実行に起因するメモリ破損の脆弱性です。この脆弱性は、特定のコマンドシーケンスが実行される際に、GPUマイクロノードで不正なコマンドが実行されることによって引き起こされます。具体的には、Qualcomm Adreno GPUファームウェアの認証メカニズムに不備があり (CWE-863: Incorrect Authorization)、コマンドがGPUマイクロノードで実行される前に適切に検証されないことが原因です。命令バッファ (IB) レベルをチェックする命令が、新しく追加された第5レベルに対応していなかったため、システムが誤って特権コマンドの実行を許可してしまう論理エラーが含まれていました。
1.1 影響 この脆弱性が悪用された場合、ローカルアクセスを持つ攻撃者は、メモリを破損させ、任意のコードを実行できる可能性があります。これにより、影響を受けるデバイスで一時的なルートアクセスを獲得できるとされています。結果として、システムの機密性、完全性、可用性に対する完全な侵害（C:H/I:H/A:H）につながる可能性があります。また、GPU側から任意の物理メモリの読み書きが可能になります。
1.2 深刻度 * CVSS v3.1 ベーススコア: 8.6 (High) * 攻撃元区分: ローカル * 攻撃条件の複雑さ: 低 * 必要な特権レベル: 不要 * ユーザーインタラクション: 必要 * スコープ: 変更 * 機密性への影響: 高 * 完全性への影響: 高 * 可用性への影響: 高
この脆弱性は、CISAの既知の悪用されている脆弱性（KEV）カタログに登録されており、すでに実世界で積極的に悪用されていることが確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン Qualcomm Snapdragonプラットフォームに搭載されているAdreno GPUファームウェアに影響があるため、主にAndroid OSが搭載されたデバイスが影響を受けます。Googleの2025年6月のセキュリティ速報で本脆弱性へのパッチが提供されました。
2.2 影響を受ける設定 Qualcomm Snapdragonプラットフォームを搭載したデバイスが影響を受けます。これにはMeta Quest 3およびQuest 3Sヘッドセットが含まれるほか、GPUマイクロコードはIoTデバイス、スマートフォン、ラップトップ、将来の自動車システムなど、多岐にわたる製品で共有されています。Samsung S23での悪用事例も報告されています。
3. 影響を受けた時の兆候
影響を受けたデバイスでは、不正なルートアクセス試行が観測される可能性があります。
4. 推奨対策
4.1 本対策 * Qualcommが2025年6月のセキュリティ情報で提供したセキュリティパッチを適用してください。 * 影響を受けるすべてのSnapdragonファームウェアバージョンに直ちにアップデートを適用することが強く推奨されます。 * Googleが2025年8月の月例パッチで本脆弱性に対する修正をリリースしていますので、Google Android Security Bulletinのアップデートを適用してください。 * パッチは2025年5月にはOEM向けに提供が開始されていました。
4.2 暫定回避策（緩和策） * Meta Quest 3/3Sデバイスについては、一時的な回避策として、アップデートおよびOculusアップデーター (
com.oculus.updater) を無効にすることが言及されています。ただし、これは恒久的な解決策ではなく、パッチの適用が最優先されます。 * CISAのガイダンス（BOD 22-01）では、ベンダーの指示に従って緩和策を適用するか、クラウドサービスに適用されるガイダンスに従うか、緩和策が利用できない場合は製品の使用を中止するよう推奨されています。参照したサイト