Android Framework脆弱性CVE-2025-48595の悪用の兆候
Googleの2026年6月1日のAndroidセキュリティ情報によると、Android Frameworkの権限昇格の脆弱性CVE-2025-48595は、限定的な標的型の悪用を受けている可能性を示す兆候がある［1］。この脆弱性はセキュリティパッチレベル2026-06-01の項目に載り、Googleはこのパッチレベル以降で項目の問題すべてに対処するとした［1］。
脆弱性の内容
CVE記録の説明では、複数の箇所に、整数オーバーフローによってコードを実行できる可能性がある［4］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVE | CVE-2025-48595（Googleの参照番号A-430889718） | ［1］ |
| 種類と重大度（Google） | 権限昇格（EoP）、High | ［1］ |
| CVSS 3.1（CISAのADP） | 8.4（HIGH）、AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | ［4］ |
| CWE（CISAのADP） | CWE-190（Integer Overflow or Wraparound） | ［4］ |
| 悪用されたときの影響 | 追加の実行権限なしのローカルの権限昇格（悪用に利用者の操作は不要） | ［4］ |
| SSVC（CISAのADP） | Exploitation active、Automatable no、Technical Impact total | ［4］ |
Googleは重大度を、悪用が端末に及ぼしうる影響で評価し、プラットフォームとサービスの緩和策が開発のために無効にされているか回避された場合を前提にしている［1］。この脆弱性の参照として掲げた修正のリンクは、frameworks/base・external/sqlite・build/releaseの各リポジトリを指す［1］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2025年 | - | CVE-2025-48595が予約された | ［4］ |
| 2026年 | Samsung | SMR-APR-2026の告知で、CVE-2025-48595を以前の更新に含まれる脆弱性に挙げた | ［3］ |
| 2026年 | Androidセキュリティ情報（2026年6月版）を公開した | ［1］ | |
| 2026年 | - | CVE記録とNVDの項目が公開された | ［4、5］ |
| 2026年 | CISA | CVE-2025-48595をKEVのカタログに加えた | ［4、5］ |
| 2026年 | カナダ・サイバーセキュリティセンター | 注意喚起AV26-538を公表した | ［9］ |
| 2026年 | 版1.1で問題の一覧を更新し、AOSPのリンクを加えた | ［1］ | |
| 2026年 | JPCERT/CC | Weekly Reportに「Androidに複数の脆弱性」を載せた | ［6］ |
| 2026年 | Pixel Update Bulletin（2026年6月版）を公開した | ［2］ | |
| 2026年 | 版1.2で問題の一覧を更新した | ［1］ | |
| 2026年 | 版1.3で問題の一覧を更新した | ［1］ | |
| 2026年 | 版1.4で問題の一覧を更新した | ［1］ |
対象の製品と版
| 配布元 | 状態 | 修正版・アドバイザリ | 資料 |
|---|---|---|---|
| Google（AOSP） | 更新したAOSPの版は14、15、16、16-qpr2 | セキュリティパッチレベル2026-06-01以降 | ［1］ |
| Google（Google端末） | サポート対象の全Google端末にパッチレベル2026-06-05の更新を配信する | パッチレベル2026-06-05以降（Pixel Update Bulletin） | ［2］ |
| Samsung（主要な旗艦機種） | SMR-APR-2026で「Already included in previous updates」の区分に掲載 | - | ［3］ |
| GrapheneOS | 通常リリース2025100300で修正したと記載 | 2025100300 | ［8］ |
Samsungはセキュリティ更新のページで、SMRを主要な旗艦機種向けの月例の保守リリースと説明し、GoogleとSamsungのパッチを含むとした［3］。
GrapheneOSは、リリースの記録の2025092500の節で、追加で修正した重大度HighのCVEにCVE-2025-48595を挙げた［8］。同じ節には、2025年11月と12月のAndroidセキュリティ情報にあるAndroid 16のパッチを、セキュリティプレビューリリース2025092501に含めたとある［8］。Help Net Securityは6月3日の追記で、GrapheneOSのチームの説明として、Googleが2025年9月末ごろのセキュリティプレビューリリースでCVE-2025-48595をOEMに開示したと報じた〔注1〕［12］。
悪用の状況
カナダ・サイバーセキュリティセンターはAV26-538で、ベンダーがCVE-2025-48595の限定的な標的型の悪用の可能性を示しているとした［9］。Update 1では、CISAがこの脆弱性をKEVに加えたことを記した［9］。JPCERT/CCは、Googleのセキュリティ情報を情報源に挙げたWeekly Reportの項目で、修正された一部の脆弱性が限定的な標的型攻撃の対象となっている可能性を示す兆候があるとの開発者の説明を載せた［6］。
NVDの記録にあるCISAのKEVの項目では、KEVでの名前は「Android Framework Integer Overflow Vulnerability」で、対応期限は6月5日である［5］。必要な対応は、ベンダーの指示に従って緩和策を適用するか、クラウドサービスでは該当するBOD 22-01の指針に従うか、緩和策が無ければ製品の使用を中止することである［5］。
SecurityWeekは、6月2日の記事でCVE-2025-48595を悪用した攻撃についての情報は見当たらないと報じ［10］、6月3日の記事ではCISAがこの脆弱性の即時の修正も促したと報じた［11］。
修正と回避策
Googleのセキュリティ情報の索引の説明では、Androidセキュリティ情報はAndroidを実行する端末で起こりうる問題の修正を提供する［7］。6月版のセキュリティ情報で、Googleは修正の適用と緩和に関わる事項を挙げた［1］。
- パッチレベル2026-06-05以降で、このセキュリティ情報の問題すべてに対処する［1］。
- 公開から48時間以内に、対応するソースコードのパッチをAOSPのリポジトリに公開し、AOSPのリンクでセキュリティ情報を改訂する［1］。
- Android 10以降の一部の端末では、Google Playシステムアップデートがパッチレベル2026-06-01に合う日付の文字列を持つ［1］。
- Google Playプロテクトは、Google Mobile Servicesを搭載した端末で既定で有効になっており、Google Play以外からアプリを入れる利用者には特に重要である［1］。
GoogleはPixel Update Bulletinで、Google端末のファームウェアイメージをGoogle Developerのサイトで入手できるとした［2］。カナダ・サイバーセキュリティセンターは、利用者と管理者に必要な更新の適用を促した［9］。JPCERT/CCは、修正済みの版に更新すれば問題が解決するとした［6］。
未公表の事項
- 整数オーバーフローが起きる具体的な箇所とコンポーネント
- 悪用した攻撃者とその帰属、標的、悪用の時期、連鎖した脆弱性
- 発見者・報告者
- 影響を受けた利用者・端末の数
- SamsungがCVE-2025-48595の修正を入れた更新
注
- 〔注1〕Googleはセキュリティ情報で、Androidのパートナーには、公開の少なくとも1か月前に全件を通知しているとした［1］。
出典
当事者
- ［1］Google LLC『Android Security Bulletin—June 2026』（2026年6月1日公開、2026年10月12日更新）
- ［2］Google LLC『Pixel Update Bulletin—June 2026』（2026年6月16日公開）
関係組織
- ［3］Samsung Electronics Co., Ltd.『Samsung Mobile Security Updates』（2026年4月7日公開）
- ［8］GrapheneOS Foundation『GrapheneOS releases』（公開日不明、2026年11月5日閲覧）
公的機関
- ［4］The MITRE Corporation『CVE-2025-48595』（2026年6月1日公開、2026年6月3日更新）
- ［5］National Institute of Standards and Technology『CVE-2025-48595 Detail』（2026年6月1日公開、2026年7月22日更新）
- ［6］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC WEEKLY REPORT 2026-06-10』（2026年6月10日公開）
- ［9］Communications Security Establishment Canada『Android security advisory – June 2026 monthly rollup (AV26-538) – Update 1』（2026年6月2日公開）
報道機関
- ［10］Wired Business Media『Android Update Patches Exploited Zero-Day, 123 Other Vulnerabilities』（2026年6月2日公開）
- ［11］Wired Business Media『Organizations Warned of Exploited Linux Kernel Vulnerability』（2026年6月3日公開）
- ［12］Help Net Security d.o.o.『Google fixes actively exploited Android vulnerability (CVE-2025-48595)』（2026年6月2日公開、2026年6月3日更新）
背景資料
- ［7］Google LLC『Android Security Bulletins』（公開日不明、2026年11月5日閲覧）
更新記録
- 2026年6月6日：公開した。
- 2026年6月10日：JPCERT/CCの6月10日のWeekly Report（出典6）を加え、「時系列」「悪用の状況」「修正と回避策」を改めた。
- 2026年6月16日：GoogleのPixel Update Bulletin（6月16日公開、出典2）を加え、「時系列」「対象の製品と版」「修正と回避策」を改めた。
- 2026年7月22日：NVDの記録の7月22日の更新（出典5）を加え、「時系列」「悪用の状況」を改めた。
- 2026年8月25日：Androidセキュリティ情報の8月25日の改訂（版1.2、出典1）を「時系列」に加えた。
- 2026年9月2日：Androidセキュリティ情報の9月2日の改訂（版1.3、出典1）を「時系列」に加えた。
- 2026年10月12日：Androidセキュリティ情報の10月12日の改訂（版1.4、出典1）を「時系列」に加え、出典の更新日を改めた。