Androidスマートフォンで、細工されたSMSを受信するだけで通話機能が停止する恐れのある脆弱性が見つかった。ユーザーがメッセージを開いたりリンクをタップしたりしなくても成立するゼロクリック攻撃で、緊急通報にも影響する可能性がある。脆弱性は10月のセキュリティ更新で修正された。

10月30日にGigazineで報じたところによると、セキュリティ研究者のマルク・ブラシュチク氏は、Androidに「SMS of Death」と呼ばれる脆弱性を確認した。

問題は、通信事業者などが特殊なデータを送る際に使うWAP Pushメッセージの処理で発生する。Androidはこうしたメッセージを自動的に解析するが、データ長を数値に変換する際の検証が不十分で、異常なメモリ割り当てを引き起こす可能性があるという。

この不具合により、通話機能を担うシステムプロセス「com.android.phone」が強制終了する。その結果、音声通話とモバイル通信が一時的に中断し、通話中であれば切断される可能性がある。

攻撃に使われるメッセージは一般的なSMSアプリには表示されず、送信元の番号も確認できないため、利用者が異常に気付きにくい点も特徴だ。

研究チームの実験では、細工したSMSを1通受信しただけで通話機能が約1～2秒停止した。さらに、未配信扱いのメッセージが通信事業者側で繰り返し再送される仕組みにより、通信障害が最大1週間にわたって断続的に続いた事例も確認された。

約20通のメッセージを連続して送ると、端末が長時間正常に動作しない状態に陥るケースもあった。悪意あるメッセージが処理待ちのまま残ると、再起動後もエラーが繰り返される可能性がある。

研究者はGoogle Pixel 9を含む複数のAndroid端末で脆弱性の再現に成功した。通常の通話だけでなく、緊急通報まで停止する恐れがある点から、危険性は高いと指摘している。

この脆弱性は5月5日にGoogleへ報告された。Androidのソースコードには6月15日付でエラー処理を改善する修正が反映され、10月のセキュリティ更新で提供されたという。

修正後は、異常なメッセージの処理中にエラーが発生しても通話関連プロセスを終了させないようにしたほか、問題を起こしたメッセージの記録を削除する仕組みを導入した。

修正はAndroid 14～17向けに提供されるが、配信時期はメーカーや機種によって異なる可能性がある。利用者は端末の設定画面で、セキュリティ更新の適用状況を確認したい。