Trusted Design

CVE-2022-22706 の詳細

CVEの情報

説明:
Arm Mali GPU Kernel Driver allows a non-privileged user to achieve write access to read-only memory pages. This affects Midgard r26p0 through r31p0, Bifrost r0p0 through r35p0, and Valhall r19p0 through r35p0.

CVE更新日: 2022-03-03 15:15:08.610000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2023-03-30

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.010620000

EPSS更新日: 2026-10-20 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2022-22706は、Arm Mali GPUカーネルドライバーにおける脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

1.1 影響

Arm Mali GPUカーネルドライバーの脆弱性により、非特権ユーザーがリードオンリーメモリページへの書き込みアクセス権を取得できる可能性があります。これにより、特権昇格やシステム侵害のリスクが生じます。この脆弱性が悪用されると、攻撃者はデバイスの完全な制御を奪ったり、機密情報（写真、会話など）を盗んだりする可能性があります。

1.2 深刻度

この脆弱性の深刻度は「高（High）」と評価されており、共通脆弱性評価システム（CVSS）v3.1の基本スコアは7.8です。National Vulnerability Database (NVD) でも「High」と評価されています。Googleの脅威分析グループ（TAG）によると、CVE-2022-22706は限定的かつ標的を絞った攻撃において悪用された兆候があり、Samsung製スマートフォンを標的としたスパイウェアキャンペーンで利用された可能性があると報告されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はArm Mali GPUカーネルドライバーに影響するため、主にAndroidデバイスが影響を受けます。具体的に影響を受けるArm Mali GPUカーネルドライバーのバージョンは以下の通りです。 * Midgard r26p0からr31p0 * Bifrost r0p0からr35p0 * Valhall r19p0からr35p0

Google Pixelデバイスの場合、パッチレベル2022-03-05より前のバージョンが影響を受けました。また、Samsungは2023年5月のアップデートでこの脆弱性に対応しています。

2.2 影響を受ける設定

CWE-119: Memory Buffer Bounds Errorにマッピングされています。リードオンリーとしてインポートされたメモリページが、ホスト側から書き込み可能になってしまう設定が問題の原因です。

3. 影響を受けた時の兆候

この脆弱性により、非特権アプリがrootアクセスを取得する可能性があります。デバイスの制御が奪われたり、データが盗まれたりする可能性があるため、予期せぬアプリの挙動、デバイスのパフォーマンス低下、バッテリーの異常な消費などが潜在的な兆候となりえます。ただし、直接的な影響の兆候として明確に記述されている情報は見当たりません。限定的かつ標的を絞った攻撃での悪用が確認されているため、異常な動作に注意を払うことが重要です。

4. 推奨対策

4.1 本対策

  • 影響を受けるArm Mali GPUカーネルドライバーを修正されたバージョンにアップデートしてください。
  • Androidデバイスを使用している場合、最新のAndroidセキュリティアップデートを適用してください。CVE-2022-22706のパッチは、Androidセキュリティパッチレベル2023-06-05に統合されています。
  • Google Pixelデバイスの場合、パッチレベル2022-03-05以降にアップデートしてください。
  • Samsungデバイスの場合、2023年5月のアップデートで修正済みです。

4.2 暫定回避策（緩和策）

  • Mali GPUドライバーにおけるget_user_pages()を通じてインポートされるメモリの権限フラグチェックを監査し、強化を検討してください。
  • get_user_pagesベースのインターフェースが不要な場合は、それを廃止することで影響を軽減できる可能性があります。
  • 一般的に、信頼できないサードパーティ製アプリのインストールは避けるべきです。

その他に解説すべき観点

  • CWE (Common Weakness Enumeration): CWE-119: Memory Buffer Bounds Error
  • 悪用状況: GoogleのThreat Analysis Group (TAG) は、この脆弱性が限定的で標的を絞ったスパイウェアキャンペーンで悪用された可能性があると指摘しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る