【ITニュース解説】Samsung Fixes Critical Zero-Day CVE-2025-21043 Exploited in Android Attacks

SamsungがAndroidデバイス向けに毎月提供しているセキュリティアップデートは、スマートフォンやタブレットを安全に使い続ける上で極めて重要なものだ。今回の9月のセキュリティアップデートには、特に注目すべき修正が含まれている。それは「CVE-2025-21043」という識別子を持つセキュリティ脆弱性に対するもので、この脆弱性はすでに現実の攻撃で悪用されていた「ゼロデイ脆弱性」であったとされている。

ゼロデイ脆弱性とは、セキュリティ研究者やベンダーがその存在を認識し、対策を講じる前に、攻撃者によって発見され、悪用されてしまう脆弱性のことを指す。つまり、防御側が全く知らない、あるいは対策が間に合っていない状況で攻撃が始まるため、「対策ゼロの日」を意味する「ゼロデイ」という言葉が使われる。このような脆弱性は、攻撃者が先行しているため非常に危険度が高く、今回のようにすでに攻撃が確認されている場合は、さらに迅速な対応が求められる。ユーザーは、脆弱性が修正されたアップデートが公開されたら、できるだけ早く適用することが大切だ。

今回修正されたCVE-2025-21043という脆弱性は、CVSSスコア（Common Vulnerability Scoring System）が8.8と評価されている。CVSSスコアは脆弱性の深刻度を測る国際的な指標で、0から10の範囲で評価され、数字が大きいほど深刻度が高いことを示す。8.8というスコアは「High（高）」に分類され、悪用された場合の影響が非常に大きいことを意味する。

この脆弱性の具体的な内容は、「out-of-bounds write」、日本語では「範囲外書き込み」と呼ばれる種類の問題である。プログラムがコンピューターのメモリを扱う際、データのために特定の領域を確保する。例えば、あるプログラムが変数Aのために10バイトのメモリ領域を確保し、その範囲内でデータを読み書きするように設計されているとする。しかし、プログラムに存在するバグにより、本来変数Aのために確保された10バイトの領域を超えて、その外側に位置する別のメモリ領域に勝手にデータを書き込んでしまう状況が、範囲外書き込みだ。これは、隣接する他のプログラムやシステムが利用しているメモリ領域を汚染することになり、システム全体の整合性や安全性を脅かす行為にあたる。

このような範囲外書き込みが発生すると、プログラムの予期せぬ動作を引き起こしたり、最悪の場合には「arbitrary code execution」、すなわち「任意のコード実行」を許してしまうことにつながる。任意のコード実行とは、攻撃者が標的のデバイス上で、文字通り「任意の（好きな）プログラムコード」を実行できる状態になることを指す。これは、デバイスの完全な制御権を攻撃者に明け渡すことに等しい。例えば、個人情報の窃取、デバイスの機能の乗っ取り、他のシステムへの攻撃の踏み台にされるなど、考えられるあらゆる悪意のある操作が可能になるため、情報セキュリティにおける最も深刻な脅威の一つとされている。

CVE-2025-21043は、具体的には「libimagecodec.quram.so」という特定のライブラリに存在していた脆弱性だ。このライブラリ名から推測すると、デバイスが画像を処理する際、例えば写真を表示したり、編集したりする機能に関連する部分に問題があった可能性がある。画像ファイルは複雑な構造を持つことが多く、その解析や処理の過程で、意図しないデータがメモリに書き込まれてしまうような脆弱性が生まれやすい分野でもある。

この脆弱性は「remote attackers」、つまり「遠隔の攻撃者」によって悪用される可能性があった点も重要だ。これは、攻撃者が被害者のデバイスに直接物理的にアクセスする必要がなく、インターネット経由など、遠く離れた場所からでも攻撃を実行できることを意味する。たとえば、悪意のある画像ファイルを開かせたり、特定のウェブサイトにアクセスさせたりするだけで、脆弱性を突くことができてしまうケースもある。これにより、攻撃の対象が広範囲に及び、被害が拡大する恐れがある。

Samsungは、2025年9月のセキュリティアップデート「SMR Sep-2025 Release 1」において、この深刻なゼロデイ脆弱性に対する修正を提供した。この修正が適用されたことで、当該の脆弱性が悪用されるリスクは大幅に低減される。システムエンジニアを目指す上でも、このようなセキュリティアップデートが提供された際には、その内容と影響を理解し、迅速な適用を推奨することが重要だと学ぶことができるだろう。

現代のデジタル環境において、スマートフォンやPCなどのデバイスを安全に利用するためには、ベンダーが提供するセキュリティアップデートを定期的に、そして速やかに適用することが不可欠だ。セキュリティは一度対策をすれば終わりではなく、日々進化する攻撃手法に対抗するために、継続的な監視と対応が求められる領域である。今回のSamsungの事例は、その重要性を改めて浮き彫りにしたと言えるだろう。