対象は楽天回線全体ではなく、4機種

JVNは10月14日、Rakuten Mini、Rakuten Hand、Rakuten Hand 5G、Rakuten BIG sに影響する脆弱性を公表しました。対象はこの4機種の全バージョンです。楽天モバイルの回線を使っているだけで、ほかの機種まで対象になるという情報ではありません。

普段使うスマートフォンだけでなく、自宅で予備機として残している端末も機種名を確認する意味があります。回線の契約先ではなく、手元の端末の製品名をこの4機種と照らし合わせることが最初の確認になります。

起動時にシステムを確かめる仕組みの問題

問題となっているのは、Android Verified Boot（AVB）に既知のAOSPテスト用鍵が使われていることです。AVBは起動時にシステムを検証する仕組みで、今回の問題では、端末へ物理的にアクセスできる攻撃者が細工したシステムを導入する恐れがあります。

「物理的にアクセスできる」という条件が重要です。この公表から、離れた場所から楽天回線の端末を一斉に侵害できるとか、対象機種がすべて感染済みだとはいえません。一方、物理アクセスが必要だから放置してよい、という案内でもありません。

JVNの案内は利用停止と代替製品の検討

JVNは、サポートが終了した対象製品の利用を停止し、代替製品を検討するよう案内しています。今後の修正を待って使い続けることを勧める内容ではありません。通常どおり起動して操作できることと、セキュリティ面のサポートが続いていることは別です。

利用している機種が対象なら、端末を使う場面を確認し、利用停止と代替機への移行を検討する必要があります。機種変更先を考える際も、通信回線を変えることだけで今回の端末の問題が解消するわけではない点に注意してください。

数値だけで、被害の有無は判断できない

JVNにはCVSS v4.0で7.0、CVSS v3.0で6.6という深刻度の評価が掲載されています。評価方式が異なる数字で、端末が攻撃される確率や、侵害された台数を表すものではありません。

確認すべきなのは、対象機種かどうか、攻撃にどんな条件が必要か、利用者向けにどの対応が案内されているかです。被害がすでに起きたとの断定や、回線利用者全体への不安につなげず、製品ごとの情報に沿って対応することが大切です。

まとめ

今回の対象は4機種の全バージョンで、物理アクセスを伴う攻撃が問題になります。JVNの対応案内は対象製品の利用停止と代替製品の検討です。手元や予備の端末の機種名を確かめ、対象なら今後の利用方法を見直してください。