財経新聞に「いいね!」Googleは、Androidの2月の月例セキュリティアップデートを公開した。アップデートは通例のように02-01バージョンと02-05バージョンの2回に分けて公開。02-01バージョンでは2ジャンル、02-05バージョンでは3ジャンルの修正が含まれている。修正全体の項目数こそ先月より減っているものの、クリティカルは先月に引き続き2件あった。このうち、最も深刻度の高い脆弱性は、2020-02-01セキュリティパッチレベルのうちシステムに関するもの。リモートの攻撃者が特別に細工したトランスミッションによって、特権プロセスのコンテキスト内で任意のコードを実行できてしまうという。■2020-02-01セキュリティアップデートの内容このセキュリティパッチレベルでは、フレームワークに関するものと、システムに関するものの2ジャンルに関して、脆弱性の修正がなされている。●フレームワークに関するもの7件7項目。深刻度はすべて高となっている。このうち最も深刻度の高い脆弱性は、ローカルの悪意あるアプリがユーザーの操作をバイパスして、アクセス権を上昇する可能性があるというもの。●システムに関するもの6件7項目。深刻度はクリティカルが2項目、高が4項目、中が1項目となっている。8.0、8.1、9となっている(CVE-2020-0022)。10では深刻度は中に分類されている。このジャンルではもう1つ、情報開示に関する項目でクリティカルな脆弱性が修正されている。10(CVE-2020-0023)。■2020-02-05セキュリティアップデートの内容このセキュリティパッチレベルでは、カーネルコンポーネントに関するもの、Qualcommコンポーネントに関するもの、Qualcommクローズドソースに関するものの3ジャンルに関して脆弱性の修正がなされている。●カーネルコンポーネントに関するもの2件2項目。深刻度はいずれも高となっている。このうち深刻度の最も高いものでは、ローカルの攻撃者が特別に細工したファイルを使用して、特権プロセスのコンテキスト内で任意のコードを実行できてしまうというもの。●Qualcommコンポーネントに関するもの6件6項目。カメラに関するもの2項目、カーネルに関するもの2項目、オーディオに関するものとグラフィックスに関係するものが各1項目で、いずれも深刻度は高。通例通り、本ジャンルに関する詳細情報は直接Qualcommから提供されることになっている。●Qualcommクローズドコンポーネントに関するもの4件4項目。Qualcommのクローズドコンポーネントに関する詳細情報などは、Qualcommのセキュリティ情報、またはセキュリティアラートによって直接提供されることになっている。普及率も高く使用頻度の高いスマートフォンOSに関しては、脆弱性の影響度も高く、毎月定期的に脆弱性に関する情報と修正パッチが提供されていることに安心感もあるが、Androidの場合は各機器ベンダーからの提供となるため、どうしても多少のタイムラグができる。各機器ベンダーを通すことによって、機器にあわない修正を適用してしまう危険性は低減される。ユーザーにとってはあまり意識しないうちに修正パッチが適用されてしまうケースも多いが、どのような脆弱性が存在していたのかといった情報を適切に把握しておくことも、セキュリティ意識の向上という面では大切なことだと言えるだろう。