Trusted Design

解説:

CVE-2021-25369は、Samsung Androidデバイスに存在する重要な脆弱性です。以下にその詳細を解説します。

1. 脆弱性の概要

CVE-2021-25369は、Samsungモバイルデバイスのsec_logファイルにおける不適切なアクセス制御の脆弱性です。この脆弱性により、機密性の高いカーネル情報がユーザー空間に漏洩する可能性があります。通常、システムアプリを含む一般的なアプリは/dev/kmsgにアクセスできませんが、この脆弱性により、kmsgの内容が/proc/sec_log、そして最終的にアクセス制御がより緩い/data/log/sec_log.logにコピーされることで、システムアプリがこれらの機密情報にアクセスできるようになります。この脆弱性は、メモリ安全性に関する問題ではなく、ロジック/設計上の欠陥として分類されます。

脆弱性は、ARM Mali GPUドライバー内で無効なioctlコマンドがHWCNTドライバーに渡された際にWARN_ONステートメントがトリガーされることで発現します。WARN_ONがトリガーされると、完全なバックトレースがkmsgに記録され、その中にtask_structやsys_call_tableのアドレスといった生のスタック内容が含まれていました。

攻撃者は、この脆弱性によって漏洩したsys_call_tableアドレスを使用してKASLR（Kernel Address Space Layout Randomization）を回避し、さらにtask_structアドレスからaddr_limitポインタを取得して、任意のカーネル読み取り/書き込み権限を獲得することが可能です。この脆弱性は、Google Project Zeroの研究者によって、監視ベンダーが実際に悪用した3つのゼロデイ脆弱性チェーン（CVE-2021-25337, CVE-2021-25369, CVE-2021-25370）の一部として報告されました。

1.1 影響

• 機密性の高いカーネル情報がユーザー空間に漏洩します。
• KASLRバイパスを可能にし、さらなる攻撃の足がかりとなります。
• 他の脆弱性と組み合わせることで、任意のカーネル読み書きや、最終的にはデバイスの完全な乗っ取りにつながる可能性があります。

1.2 深刻度

• CVSS v3基本評価: 5.5 (Medium)
• Samsungによる評価: Moderate
• EPSS (Exploit Prediction Scoring System) 悪用予測確率: 1.1%
• CISA KEV（Known Exploited Vulnerabilities）カタログに登録されており、実環境での悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• Samsung Androidデバイス
• Samsung Exynos、カーネルバージョン4.14.113、SMR-Mar-2021 Release 1以前のバージョン。
• Samsungのアドバイザリでは、O (8.x)、P (9.0)、Q (10.0) の各バージョンでSMR MAR-2021 Release 1以前のものが影響を受けると記載されています。
• 特に2020年後半にカーネル4.14.113を実行していたSamsung S10、A50、A51などのExynos SoCを搭載したデバイス（主にヨーロッパおよびアフリカ地域で販売）。

2.2 影響を受ける設定

• /dev/kmsgの内容が/proc/sec_log、その後/data/log/sec_log.logにコピーされ、/dev/kmsgよりも緩いアクセス制御が設定されているデバイス。
• dumpstate.rc内のSamsungカスタムbugreportサービスが、ログ内容を/data/log/sec_log.logにコピーする設定。
• 無効なioctlコマンドに対してWARN_ONをトリガーするARM Mali GPUドライバーのバージョン。2020年2月のMaliドライバーr21p0でのWARN_ONからpr_warnへの変更、および2020年4月のLinuxカーネルでのバックトレースにおける生スタック内容の出力停止によりこの脆弱性は防がれたはずですが、2020年11月時点の対象Samsungデバイスにはこれらの変更が適用されていませんでした。

3. 影響を受けた時の兆候

この脆弱性は情報漏洩を目的としているため、単体での目に見える兆候は特定が難しい場合があります。しかし、デバイスの完全な乗っ取りを伴うエクスプロイトチェーンの一部として悪用された経緯があるため、スパイウェア活動や不正アクセスなどの兆候が見られる可能性があります。 CISA KEVに登録されていることから、悪用された可能性があるため、過去の侵害がないか調査することが推奨されます。

4. 推奨対策

4.1 本対策

• Samsungモバイルデバイスに対して、2021年3月のセキュリティメンテナンスリリース (SMR-Mar-2021 Release 1) 以降のアップデートを適用してください。
• パッチは脆弱なファイルを削除することで対応しています。
• 正確なパッチ適用バージョンおよび手順については、ベンダーのセキュリティアドバイザリを確認してください。
• 同様のバグを将来的に防ぐため、より頻繁にアップストリームのLinuxカーネルおよびドライバーに同期することが推奨されます。特に、2020年2月のARM Mali GPUドライバーのバージョンr21p0と、2020年4月のLinuxカーネルでの生スタック内容のバックトレース出力停止は、この脆弱性を防いだ可能性があります。
• kmsgのような機密性の高いログコンテンツが、なぜ追加のより緩いアクセス許可を持つ場所にコピーされるのかを監査すること。

4.2 暫定回避策（緩和策）

この脆弱性単体に対する具体的な暫定回避策は、公開情報からは見つかっていません。 CISA KEVに記載されている悪用が確認された脆弱性全般に対しては、「緊急の変更として扱い、直ちにパッチを適用するか隔離し、過去の侵害がないか調査する」という推奨事項が適用されます。 即座にパッチ適用ができない場合、影響を受けるデバイスの隔離が検討されますが、カーネル情報漏洩の性質上、初期アクセス経路が既に確立されている場合の有効性には限りがある可能性があります。

他に解説すべき観点

• バグの分類: ロジック/設計上の欠陥。
• エクスプロイトチェーン: この脆弱性は、監視ベンダーによって悪用された3つの脆弱性チェーン（CVE-2021-25337、CVE-2021-25369、CVE-2021-25370）の2番目のステップとして使用されました。これら3つの脆弱性はすべて、AOSP（Android Open Source Project）やLinuxカーネルではなく、Samsungのカスタムコンポーネント内に存在していました。
• 悪用の経緯: 悪用されたサンプルは2020年後半のもので、Exynos SoCを搭載し、カーネル4.14.113を実行するSamsung製スマートフォン（S10、A50、A51など）を標的としていました。
• CISA KEVへの登録: 2022年11月8日にCISA Known Exploited Vulnerabilitiesカタログに追加され、連邦政府機関に対する是正措置の期限は2022年11月29日でした。これは、この脆弱性が実際に悪用されたことを意味します。

参照したサイト

• CVE-2021-25369: Samsung kernel info leak in sec_log | 0-days In-the-Wild
• CVE-2021-25369 – Samsung Mobile Devices Improper Access Control…
• CVE-2021-25369 - Samsung Mobile Devices Improper Access Control Vulnerability
• Surveillance vendor exploited Samsung phone zero-days - Security Affairs
• CVE-2021-25369: Samsung Mobile Devices Improper Access Control Vulnerability | PIEinc 위협 정보 - 정보보호 컨설팅 전문 기업
• CVE-2021-25369 exploited: patch Samsung Mobile Devices now - Senserva
• Firmware Updates - Samsung Mobile Security