Android 4.1.1、4.1.2、4.2.2、4.3、4.4.2に許可なく電話発信できる脆弱性

Androidアプリが通話などのアクションを必要とする場合、OSはアクセス権限を持たないアプリの挙動をストップすることができますが、セキュリティ会社Curesecが公開した脆弱性情報データベース(CVE)によると、Androidのバージョン4.1.1、4.1.2、4.2.2、4.3、4.4.2がインストールされたスマートフォンで、許可なく発信を可能にする脆弱性が発見されています。

Cureblog - Der Blog der Curesec GmbH
http://blog.curesec.com/article/blog/35.html

Curesecは2013年後半にAndroidのコンポーネントを詳しく調査しており、発見した脆弱性に関する脆弱性情報データベース(CVE)を作成して、Androidセキュリティチームに報告するなどセキュリティの向上に努めています。さらなる調査を続けたところ同様の脆弱性が発見され、Androidバージョン4.1.1、4.1.2、4.2.2、4.3、4.4.2のスマートフォンでユーザーの許可なく外部からのアクセスによって電話の発信が可能であると判明しました。

「com.android.phone.PhoneGlobals$NotificationBroadcastReceiver.」のコードに含まれる問題のバグを悪用されると、マルウェアアプリは通話の許可を取得することなく電話を発信することが可能になるほか、MMIコード・USSDコードの送信も可能であるとのこと。対応端末はまだ少ないものの、最新のAndroid 4.4.4(KitKat)ではこの脆弱性は修正されています。

Curesecは脆弱性を利用して実際に発信を検証できるアプリを公開しており、以下からapkファイルをダウンロードすることができます。

CRT-Lolme.apk
http://www.curesec.com/data/CRT-Kolme.apk

実際にAndroid 4.4.2を搭載したNexus 4にアプリをインストールして検証してみます。インストールには自己責任の上で設定の「提供元不明のアプリ」にチェックを入れる必要があります。

次にダウンロードしたapkファイルを展開して「インストール」をタップ。「特別なアクセス許可を必要としません」と書かれています。

「開く」をタップ。

アプリには3つの「テストコール」ボタンが設置されています。Android 4.4.2の場合は3つめの「Test Call SDK>=17」をタップすると……

何の警告もなく電話アプリが立ち上がり、テスト番号の「31337」へ発信を始めました。

Android 4.3を搭載したGalaxy Sで試してみたところ、「テストコールが失敗しました。別のSDKを試して下さい」と表示されます。対象バージョンではあるものの、どのボタンを押しても電話が勝手にかけられることはありませんでした。

なお、Android 4.4.4にアップデートできるのは今のところ、以下のNexusシリーズのみです。

◆Nexusシリーズ
・Nexus 4
・Nexus 5
・Nexus 7(2012年モデル・2013年モデル)
・Nexus 10