サムスン、Galaxy向け更新で206件の脆弱性を修正へ
サムスンは、Galaxy端末向けの11月のセキュリティ更新を準備しており、206件の脆弱性が修正される。このうち20件はAndroidプラットフォームの重大な問題で、任意のコードの実行、SIMロックの回避、ユーザーの許可なしでの通話を可能にする不具合も含まれている。
公式の情報によると、修正パッケージにはAndroidの脆弱性178件、Samsung Semiconductorのコンポーネントの脆弱性4件、Galaxyソフトウェアの脆弱性24件が含まれる。Galaxyソフトウェアの脆弱性のうち17件は詳細が公開されているが、残る7件の情報は現時点で明らかにされていない。一部の修正は、過去の更新にすでに含まれていた可能性があるという。
特に危険度が高いのは、Exynosモデムに存在するCVE-2026-58704である。アクセス権限の確認が不十分なため、近くにいる攻撃者が遠隔から権限を引き上げられる恐れがある。攻撃に追加の権限は不要で、端末の所有者が何かを操作する必要もない。Samsung Semiconductorの別の3件の脆弱性は、Exynosのニューラルプロセッサのドライバーに関係している。
その他の問題には、バッファオーバーフローのほか、入力データの検証や権限管理の不備がある。これらはブートローダー、システムコンポーネント、通話・連絡先・メッセージ用のSamsung製アプリで見つかった。一部の問題では、任意のコードの実行、機密データの取得、必要な許可のないウィジェット経由の通話が可能だった。
また、モデムコンポーネントにおける証明書検証の不具合も修正される。この不具合により、他社のSIMカードの使用を制限する通信事業者ロックを回避できた。
対応するGalaxyのスマートフォンとタブレットへの配信は、数日以内に始まる見込みである。