Trusted Design

CVE-2023-20963 の詳細

CVEの情報

説明:
In WorkSource, there is a possible parcel mismatch. This could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.Product: AndroidVersions: Android-11 Android-12 Android-12L Android-13Android ID: A-220302519

CVE更新日: 2023-03-24 20:15:10.010000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2023-04-13

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.014650000

EPSS更新日: 2026-10-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-20963に関する調査結果を以下に解説します。

1. 脆弱性の概要

1.1 影響

CVE-2023-20963は、WorkSourceにおけるParcelの不一致に起因するローカル権限昇格（LPE）の脆弱性です。この脆弱性は、追加の実行権限を必要とせず、ユーザーの操作も不要で悪用される可能性があります。攻撃が成功すると、機密データへの不正アクセス、システム設定の操作、ユーザーのスパイ行為（通知やファイルへのアクセスなど）が可能になります。この脆弱性は、証明書認証手順の誤りとも関連付けられています。

1.2 深刻度

この脆弱性の深刻度は「高」と評価されています。CVSS基本スコアは7.8/10です。攻撃の複雑さは「低」、必要な権限は「低」、ユーザーインタラクションは「不要」であり、機密性、完全性、可用性への影響はすべて「高」とされています。 本脆弱性はCISAのKnown Exploited Vulnerabilities (KEV)カタログに掲載されており、既に実世界で悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性の影響を受けるAndroid OSのバージョンは以下の通りです。 * Android 11 * Android 12 * Android 12L * Android 13

2.2 影響を受ける設定

この脆弱性は、AndroidのWorkSourceコンポーネントにおけるParcelの不一致に起因します。 これは、AndroidのParcelシリアライゼーション/デシリアライゼーションメカニズムに関連するバグクラスの一部です。

3. 影響を受けた時の兆候

この脆弱性を悪用したPinduoduoアプリの事例では、ユーザーをスパイし、通知やファイルにアクセスするための追加の悪意のあるモジュールをダウンロードしたと報告されています。 したがって、影響を受けた際の兆候としては、予期せぬアプリケーションの動作、不正なアプリケーションのインストール、または不審なデータアクセス要求などが考えられます。しかし、エンドユーザーが直接的に気付くような具体的な兆候については、詳細な情報は見つかっていません。

4. 推奨対策

4.1 本対策

この脆弱性に対する恒久的な対策としては、問題を修正するバージョンへのアップデートが推奨されます。Googleは、「Android Security Bulletin—March 2023」のセキュリティアップデートで本脆弱性に対処しました。 最初のパッチが適用されたバージョンは、2023年3月1日のセキュリティパッチレベルを含んでいます。

4.2 暫定回避策（緩和策）

Android 13では、この種のバグの悪用を緩和するために、バンドルペイロードのアンパーセル化を分離することで主要な悪用方法が軽減されています。 それ以前のバージョンに対する具体的な暫定回避策は、本対策の適用以外には明確に記述されていません。

その他解説すべき観点

  • CWE (Common Weakness Enumeration): CWE-295 (Improper Certificate Validation) と関連付けられていますが、根本原因はWorkSourceにおけるParcelの不一致であり、これは一貫性のないParcelのシリアライゼーション/デシリアライゼーションによるインジェクションとして説明されています。
  • 実世界での悪用: この脆弱性は実世界で悪用されていることが確認されており、CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されています。 米国連邦政府機関には、2023年5月4日までにこの脆弱性に対処するよう義務付けられています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る