モバイルアプリケーションのセキュリティを専門とするOversecured社の創設者であるSergey Toshin氏は、Samsung製デバイスに影響を与える10以上の脆弱性を発見しました。
そのうち3つの脆弱性については、ユーザーに与えるリスクが高いため、現時点では詳細が明らかになっていません。
Toshin氏は
「最も深刻度の低い脆弱性は、攻撃者が被害者を騙せた場合、SMSメッセージを盗み見ることができます。」
「他の2つの問題はより深刻であり、サムスンのデバイスのユーザーに何も操作させる必要なく、攻撃者は権限昇格を行い任意のファイルを読み書きすることができます。この修正プログラムがいつユーザーに配布されるかは不明です。」
と述べています。
Toshin氏は3つのセキュリティ脆弱性をSamsungに報告し、現在Samsungからのバグ発見報奨金の受け取りを待っています。
開示した17件の問題
サムスンからだけ、ホワイトハッカーは14の脆弱性を開示し300万＝3万ドル近くの報奨金を得ることができました。
これらのうち、すでにパッチが適用され、206万円＝20,690ドルの報奨金を獲得した7つのバグについて、Toshin氏はブログ記事で技術的な詳細と概念実証のための悪用方法を紹介しています。
ハッキング作業を支援するために特別に作成したOversecuredスキャナーを使用して、サムスン製端末にプリインストールされたアプリのバグを発見しました。
同氏は2月にこのバグを報告し、サードパーティ製のアプリがデバイスの管理者権限を取得する様子を示すビデオも公開しています。
当時ゼロデイだったこの脆弱性には望ましくない副作用があり、昇格権限を得る過程で、Android端末上の他のアプリがすべて削除されてしまうものでした。
すでにこのバグには4月にパッチが適用され、現在はCVE-2021-25356としてトラックされています。このバグを報告したハッカーは、70万円＝7,000ドルを受け取りました。
Toshin氏は「設定」アプリに含まれる問題＝システムユーザーの権限で任意のファイルへの読み書きアクセスを可能にするもの（CVE-2021-25393）についてSamsungに共有し、さらに高額の報奨金（54万円＝5,460ドル）を受け取っています。
今年の2月に発見した脆弱性の中で3番目に高い報酬（48万円＝4,850ドル）を獲得したのは、通話の詳細やSMS/MMSメッセージへのアクセス権を持つテレフォニー・ユーザーとして任意のファイルを書き込めるというものでした。
ユーザーの方は潜在的なセキュリティリスクを回避するために、メーカーから提供される最新のファームウェアアップデートを適用することが推奨されています。
Toshin氏は、これまでに550件以上の脆弱性を報告し、HackerOneプラットフォームやさまざまなバグバウンティプログラムを通じて、1億円＝100万ドル以上のバグ報奨金を獲得しています。
Comments