Androidユーザーの方、要注意です。
このQualcomm（クアルコム）のチップの脆弱性が悪用されると、スマートフォンのデータにアクセス可能になり、通話の盗聴やSMSを盗み見る可能性があることが発見、報告されました。
この脆弱性は、サイバーセキュリティ企業の｢Check Point Software(CPR)｣により報告され、世界中の30%のスマートフォンで悪用される可能性があるとのことです。クアルコムは、Samsung（サムスン）、Google（グーグル）、Xiaomi（シャオミ）、LGなど、Androidスマートフォンの主要メーカーと契約し、世界中に流通する数億台の端末にこのチップを提供しています。CPR社によると、このモバイル・ステーション・モデム（MSM）は、全世界のスマートフォンの約40%に搭載、さらに約30%のスマートフォンに、この脆弱性が認められるQualcomm MSM Interface（QMI）という独自のインターフェースが搭載されています。
影響を受けるMSMは、スマートフォン内の重要なコンポーネントの大部分に機能を提供するSoC(システム ・オン・チップ)です。
CPR社が想定する攻撃手法では、対象となる機器のオペレーティング・システムへのアクセスが必要となりますが、悪意のあるトロイの木馬型アプリや、その他悪意ある手法によって、かなり容易にアクセスを行なうことができるとこのこと。攻撃者は、アクセスしてモデムに悪意のあるコードを仕込み、機密情報を漏洩させることが可能です。
この攻撃をくらうと、スマートフォンのQMI（MSM内のソフトウェアコンポーネント間の通信を管理するプロトコル）が乗っ取られてしまい、テキストメッセージや通話履歴にアクセスできるほか、通話の盗聴も可能になります。調査研究結果によると、端末のSIMカードの内容にもアクセスできる可能性があるとのことです。
CPR社のサイバー・リサーチ部門の責任者であるYaniv Balmas氏は
携帯電話のモデムチップは、サイバー攻撃者にとっては、よく宝の持ち腐れだと思われています。クアルコムのモデムチップへの攻撃は、世界中の何億もの携帯電話に悪影響を及ぼす可能性があります。我々は最終的に、これらのチップに危険な脆弱性が実際に存在することを証明し、攻撃者がAndroid OSを利用して、気づかれないままスマートフォンに悪意のあるコードを注入できることを明らかにしました。Androidユーザーへ伝えたい主なメッセージは、スマートフォンのOSを最新のものにアップデートすることです。
と述べています。
残念ながら、この脆弱性に対するパッチが100%発行されているかどうかは、明らかではありません。
この業界のパッチの配布は、通例クアルコムのような大手業者がアップデートを発行し、その後、各携帯電話メーカーが独自に修正プログラムを適用するという、トリクルダウン方式になります。The Record紙の報道によると、何社の携帯電話メーカーがパッチを配布しているのかしてないのか、明確になっていません。
CPRはすでにこの脆弱性をクアルコムに報告し、同社も問題を認識し、すべてのAndroidベンダーに通知したとのことですが、どのくらいパッチが配布され、適用されているかはわからないとのことです。
とりあえず、Androidユーザーの方は最新OSにアップデートしておきましょう。