Arm Mali GPU の脆弱性 CVE-2024-4610：数百万台のデバイスにゼロデイ攻撃の恐れ

CVE-2024-4610 – Arm Mali GPU Zero-Day Under Active Exploit: Millions of Devices at Risk

2024/06/07 SecurityOnline — Arm が発表したのは、広く使用されている Mali GPU ドライバーに影響を及ぼす、ゼロデイ脆弱性 CVE-2024-4610 の活発な悪用に関する警告である。この脆弱性により、数百万台のデバイスに対する攻撃の可能性が生じている。

同社によると、このセキュリティ問題は、GPU の不適切なメモリ処理に関わるものだという。具体的に言うと、この脆弱性の悪用に成功した、ローカルの非特権ユーザーに対して、すでに解放されたメモリへのアクセスが許されてしまう。この種の欠陥により、不正なデータ・アクセスやシステム操作といった、深刻な結果につながる可能性がある。影響を受けるドライバーのバージョンは、以下の通りである：

• Bifrost GPU Kernel Driver: r34p0～r40p0 までの全バージョン
• Valhall GPU Kernel Driver: r34p0～r40p0 までの全バージョン

Bifrost GPU Kernel Driver／ Valhall GPU Kernel Driver における、最新ドライバー・アップデート r41p0 で、CVE-2024-4610 は対処されている。

脆弱性 CVE-2024-4610 が実際に悪用されているという報告を、Arm は確認している。この活発な悪用が強調するのは、ユーザー組織におけるパッチ適用の緊急性である。この脆弱性の性質上、ローカル・アクセス権を持つ攻撃者は、GPU メモリ操作を悪意を持って実行することが可能となり、データ漏洩やシステム侵害へといたる恐れが生じる。

Mali GPU が搭載されるのは、スマートフォン／タブレットなどの広範なモバイル・デバイスである。どのデバイスが、最も脆弱であるかについて、Arm は明言していない。つまり、パッチが広く提供されるまでは、膨大な数のユーザーが危険な状況にあると捉えるべきだろう。

そのための修正パッチは、ドライバー・アップデートで r41p0 が入手可能だが、パッチの配布は、デバイス・メーカーや、ベンダーによるアップデートの効率次第である。ユーザー組織にとって必要なことは、この脆弱性に関連するリスクを軽減するために、常に警戒し、タイムリーなアップデートを実施することである。

CISA KEV：2024/06/12：CVE-2024-4610 ARM Mali GPU Kernel Driver Use-After-Free Vulnerability

こうした、CPU や GPU の脆弱性に対して、ユーザー・サイドで取れる対策となると、ベンダーの OS アップデートを待つ以外に、ほとんど手がないというのが実情です。早く対応が進むことを期待しましょう。それにしても、どのデバイスが危ないのでしょうか？ 気になりますね。よろしければ、カテゴリ Mobile も、ご参照ください。