Trusted DesignCVE-2025-21480 の詳細
CVEの情報
説明:
Memory corruption due to unauthorized command execution in GPU micronode while executing specific sequence of commands.
CVE更新日: 2025-06-03 06:15:26.190000
CVSSバージョン: 3.1
CVSSスコア: 8.6
KEVの情報
KEV更新日: 2025-06-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.004600000
EPSS更新日: 2026-10-21 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2025-21480は、Qualcommの複数のチップセット、特にAdreno GPUドライバーに影響を与える「不正な認証」の脆弱性です。この脆弱性は、すでに限定的かつ標的を絞った攻撃で悪用されていることが確認されています。
1. 脆弱性の概要
1.1 影響
本脆弱性は、特定のコマンドシーケンスの実行中に、GPUマイクロノード内で不正なコマンド実行によりメモリ破損を引き起こす可能性があります。成功した場合、機密性、完全性、または可用性に影響を与える可能性があります。
1.2 深刻度
深刻度は「高（High）」と評価されており、CVSSv3.1のベーススコアは8.6です。 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の既知の悪用されている脆弱性カタログ（KEV）にも登録されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
Qualcommの複数のチップセットが影響を受けます。特に、Adreno Graphics Processing Unit（GPU）ドライバーを搭載したAndroidデバイスが対象です。具体的には、Snapdragon aqt1000、AQT1000ファームウェア、FastConnect 6200ファームウェア、FastConnect 6700ファームウェアなどが挙げられています。
2.2 影響を受ける設定
この脆弱性は、「Graphics Windowsにおける不適切な認証」に起因します。アプリケーションは認証チェックを実行しますが、必要な権限の境界が正しく強制されないために発生します。
3. 影響を受けた時の兆候
CVE-2025-21480は、限定的かつ標的型の攻撃で悪用されていることが確認されています。 具体的な技術的な兆候は公開情報には詳述されていませんが、メモリ破損の性質上、システム不安定、クラッシュ、または予期しない動作が発生する可能性があります。
4. 推奨対策
4.1 本対策
4.2 暫定回避策（緩和策）
現時点では、ベンダーからの明確な暫定回避策は詳述されていません。ベンダーの指示に従って緩和策を適用するか、緩和策が利用できない場合は製品の使用を中止することが推奨されています。
参照したサイト