メーカーの独自仕様で脆弱性対策が遅れるAndroid端末--IPA調査

　情報処理推進機構（IPA）は6月22日、IPAテクニカルウォッチ第3回として「『スマートフォンへの脅威と対策』に関するレポート」（PDF）を公開した。Androidを搭載したスマートフォンに対して、IPA独自で脆弱性への対策状況を検査し、その結果に基づきAndroid端末の脆弱性対策の実情と課題の考察をまとめている。

　IPAではAndroidの脆弱性の存在が指摘されていることから、独自に検査を実施した。検査時期は3月で、対象機種は3月の時点で市販されていたAndroid端末14機種。検査では「ドロイド・ドリーム」というウイルスを構成するプログラムの一部を用いた。ドロイド・ドリームは、2010年8月に発覚した脆弱性などを悪用するもので、検査ではこのウイルスが悪用の対象とする2件の脆弱性への対応状況を確認している。

　3月の検査時点でAndroid自体は対策済みとなっていたが、3月の実験ではこれらの脆弱性に対策できていない機種が14機種中11機種（約79％）に上った。間隔をおき、6月に各機種の対策状況をAndroid端末販売元に確認したところ、対策できていない機種は2機種残っている状況だという。このように、端末メーカーは機種それぞれにおいてAndroidに独自の仕様を加えて搭載しているため、それぞれの機種に対応させるまで時間がかかる傾向にある。

　レポートでは、Android端末の脆弱性対策推進に向けたIPAの取り組みとして、Androidを含むスマートフォンのセキュリティに取り組む組織と情報共有しながらAndroid端末の脆弱性対策を推進していくこと、脆弱性対策情報データベース「JVN iPedia」にスマートフォンに関連する脆弱性情報を蓄積し公開していくことを挙げている。