Android 4.4以降が対象となるLinuxカーネルの脆弱性が見つかる！Googleはすでに修正パッチを公開

Linuxカーネル3.8以降に見つかった脆弱性にAndroid向けパッチが公開！

Perception Pointは19日（現地時間）、Linuxカーネル3.8以降においてローカルユーザーがroot権限を取得可能となる脆弱性（識別番号「CVE-2016-0728」）を発見したと発表しています。

これにより、Linuxカーネル3.8以降を利用したパソコンやサーバー、そして、Android 4.4（開発コード名：KitKat）以降が危険に晒されているとのこと。ただし、現時点ではこの脆弱性が悪用された報告はないとのこと。

これに対し、GoogleのAndroid Securityを担当するAdrian Ludwig氏は21日、脆弱性に対するセキュリティーパッチをオープンソースで公開し、Androidを採用する各メーカーにパッチを提供したとお知らせしています。

今回、見つけられた脆弱性はLinux Kernel v3.8で導入された保護されたデータを保持またはキャッシュするための機能「キーリング」に含まれ、脆弱性を利用して任意のプログラムをroot権限で実行可能になるというもの。

Linuxを採用した多くのパソコンやサーバーに加え、Android 4.4 KitKat以降も含まれることから、現在稼働しているAndroidの約44％が対象になるなど、広範囲なのが話題となっていました。

一方、Android向けのパッチを公開したLudwig氏によると、Android 5.0（開発コード名：Lollipop）以降のAndroid搭載機種ではAndroidのSE Linuxポリシーによってサードパーティーのアプリがこの脆弱性を悪用することはできないと説明しています。

Android 4.4 KitKatは当初、Linuxカーネル3.4となっていましたし、Android 5.0 Lollipop以降は問題ないのであれば、影響範囲はPerception Pointの報告よりもかなり小さそうです（最新のAndroidではLinuxカーネル3.10の模様）。

なお、Android向けのパッチは2016年3月1日以降に提供されるセキュリティーパッチレベルで修正される見込み。

記事執筆：memn0ck