Androidアプリが通話などのアクションを必要とする場合、OSはアクセス権限を持たないアプリの挙動をストップすることができますが、セキュリティ会社Curesecが公開した脆弱性情報データベース(CVE)によると、Androidのバージョン4.1.1、4.1.2、4.2.2、4.4.2がインストールされたスマートフォンで、許可なく発信を可能にする脆弱性が発見されています。

Cureblog - Der Blog der Curesec GmbH

http://blog.curesec.com/article/blog/35.html



Curesecは2013年後半にAndroidのコンポーネントを詳しく調査しており、発見した脆弱性に関する脆弱性情報データベース(CVE)を作成して、Androidセキュリティチームに報告するなどセキュリティの向上に努めています。さらなる調査を続けたところ同様の脆弱性が発見され、Androidバージョン4.1.1、4.1.2、4.2.2、4.4.2のスマートフォンでユーザーの許可なく外部からのアクセスによって電話の発信が可能であると判明しました。

「com.android.phone.PhoneGlobals.」のコードに含まれる問題のバグを悪用されると、マルウェアアプリは通話の許可を取得することなく電話を発信することが可能になるほか、MMIコード・USSDコードの送信も可能であるとのこと。対応端末はまだ少ないものの、最新のAndroid 4.4.4(KitKat)ではこの脆弱性は修正されています。

Curesecは脆弱性を利用して実際に発信を検証できるアプリを公開しており、以下からapkファイルをダウンロードすることができます。

CRT-Lolme.apk

http://www.curesec.com/data/CRT-Kolme.apk

実際にAndroid 4.4.2を搭載したNexus 4にアプリをインストールして検証してみます。インストールには自己責任の上で設定の「提供元不明のアプリ」にチェックを入れる必要があります。



次にダウンロードしたapkファイルを展開して「インストール」をタップ。「特別なアクセス許可を必要としません」と書かれています。



「開く」をタップ。



アプリには3つの「テストコール」ボタンが設置されています。Android 4.4.2の場合は3つめの「Test Call SDK>=17」をタップすると……



何の警告もなく電話アプリが立ち上がり、テスト番号の「31337」へ発信を始めました。



対象外のAndroid 4.3を搭載したGalaxy Sで試してみたところ、「テストコールが失敗しました。別のSDKを試して下さい」と表示されます。どのボタンを押しても電話が勝手にかけられることはありませんでした。



なお、Android 4.4.4アップデート予定製品・およびアップデート可能製品は以下の通りです。対象製品を持っている人は、アップデート情報が届いたら早めに実行しておくと安心です。

◆ドコモからのお知らせ : Android(TM)4.4へのバージョンアップ予定製品について | お知らせ | NTTドコモ

・XperiaTM Z SO-02E

・Xperia Z1 SO-01F

・Xperia Z1 f SO-02F

・AQUOS PHONE ZETA SH-01F

・ARROWS NX F-01F

・ARROWS Tab F-02F

・Galaxy S4 SC-04E

・Galaxy Note3 SC-01F

・Galaxy J SC-02F

◆Android™ 4.4へのOSアップデート予定製品について | スマートフォン・携帯電話 | au

・HTC J One HTL22

・isai LGL22

・Xperia Z1 SOL23

・Xperia Z Ultra SOL24

・GALAXY Note 3 SCL22

◆Nexusシリーズ

・Nexus 5

・Nexus 7(2012年モデル・2013年モデル)

・Nexus 10