Googleは2025年2月のAndroidセキュリティアップデートにおいて、合計47件の脆弱性を修正した。特に注目すべきは、カーネルのUSBビデオクラス（UVC）ドライバーに存在する「CVE-2024-53104」で、限定的な標的型攻撃での悪用が確認されている。

この脆弱性は、2008年から存在していた問題であり、攻撃者が物理的なアクセスを通じて特権を昇格させ、システムへの不正なアクセスを可能にする。

また、QualcommのWLANコンポーネントに関する「CVE-2024-45569」も修正されており、リモートからの攻撃でメモリ破損を引き起こす可能性がある。ユーザーは、デバイスメーカーから提供される最新のセキュリティパッチを速やかに適用することが推奨される。

限定的な標的型攻撃が示すAndroidの新たな脅威

今回のAndroidセキュリティアップデートで修正された「CVE-2024-53104」は、カーネルのUSBビデオクラス（UVC）ドライバーに存在する脆弱性だ。この問題は2008年から存在していたもので、外部USBビデオデバイスを接続することで悪用される可能性がある。すでに限定的な標的型攻撃で利用された痕跡があり、特定のターゲットを狙ったサイバー攻撃の一環であると考えられている。

UVCドライバーの脆弱性は、悪意のあるコードを介して特権アクセスを取得し、本来アクセスできないシステム設定やデータに侵入することを可能にする。特に企業の機密情報を扱うデバイスや、高度なセキュリティを求める環境では、こうした攻撃が深刻な被害をもたらす可能性がある。

物理的なアクセスが必要とはいえ、公共の場や職場でのUSB機器利用にはより一層の注意が必要だ。これまで、物理的アクセスを前提とした脆弱性はリスクが低いとされることが多かったが、近年はターゲットを特定し、物理的手段を用いるサイバー攻撃も増加している。

特に、国際的なスパイ行為やハイプロファイルな攻撃では、こうした脆弱性が積極的に利用されるケースが指摘されている。Androidデバイスを使用するすべてのユーザーは、定期的なアップデートの適用と、不審なUSB機器の接続を避けることが求められる。

Androidのセキュリティパッチはどれほど速く適用されるのか

Googleは、今回の47件の脆弱性修正を2段階のセキュリティパッチに分割して提供している。これはAndroidのパートナー企業が重要なバグを迅速に修正できるようにするための措置であり、特に重大な脆弱性に関しては、各メーカーが独自に優先度を決めて対応する仕組みとなっている。

しかし、実際にアップデートがユーザーの手元に届くまでには、メーカーやキャリアの承認プロセスが影響する。GoogleのPixelシリーズのように、直接アップデートを受け取ることができるデバイスは比較的速やかに適用されるが、SamsungやOnePlus、Motorolaといったメーカーのデバイスでは、最終的なリリースまで数週間かかることもある。

また、キャリア独自のテストが必要な場合、さらに遅れることもある。このような遅延を回避するため、GoogleはAndroid 10以降で「プロジェクト・メインライン」と呼ばれる仕組みを導入している。これにより、特定のシステムコンポーネントの更新がGoogle Playを通じて提供され、メーカーの承認を待たずにセキュリティの修正が可能となった。

しかし、すべての脆弱性がこの仕組みで対応できるわけではなく、依然としてメーカー側の対応スピードが鍵を握る。ユーザーとしては、手動でアップデートの確認を行い、可能な限り早く適用することがリスク回避につながる。

今後も続くAndroidのセキュリティリスクとその対策

今回のアップデートは、Androidデバイスのセキュリティを向上させるための重要な一歩ではあるが、今後も新たな脆弱性が発見され続ける可能性は高い。特に、オープンソースの性質を持つAndroidは、多くのメーカーが独自のカスタマイズを加えているため、セキュリティパッチの適用が統一されにくいという課題がある。

さらに、Androidデバイスは幅広い種類のハードウェアをサポートしており、特に古い端末では最新のパッチが適用されないケースもある。例えば、Googleが公式にサポートを提供しているPixelデバイスは、発売から約3年間のOSアップデートと、5年間のセキュリティパッチが保証されている。

しかし、多くのメーカーはそれより短いサポート期間しか提供していないため、古いデバイスを使い続けるユーザーは、より大きなリスクを抱えることになる。

このため、セキュリティを維持するためには、できるだけ最新のアップデートを適用することはもちろん、不要なアプリのインストールを避ける、信頼できるアプリストア以外からアプリをダウンロードしない、定期的にデバイスの権限設定を見直すといった基本的な対策も必要だ。

特に、企業でAndroidデバイスを利用する場合は、MDM（モバイルデバイス管理）ソリューションを活用し、リスクのあるアプリのインストールを制限するなどの対策も求められる。

今後、Androidのセキュリティはさらに強化されていくと考えられるが、その一方で、攻撃手法も巧妙化していくことが予想される。ユーザー自身がセキュリティ意識を高め、日々の対策を怠らないことが、安全なモバイル環境を維持する鍵となるだろう。

Source：Lifehacker