楽天モバイル「Rakuten Mini」「Rakuten Hand」などに脆弱性、AVB機能にテスト鍵が残存　利用停止と乗り換えを案内

　JPCERTコーディネーションセンター（JPCERT/CC）と情報処理推進機構（IPA）は14日、楽天モバイルの複数のスマートフォンにおいて、Android Verified Boot（AVB）機能にテスト用鍵がそのまま使用されている脆弱性を発表した。対象製品はすでにサポートが終了しているため、利用を停止して後続製品へ乗り換えるよう呼びかけている。

　対象製品は「Rakuten Mini」「Rakuten Hand」「Rakuten Hand 5G」「Rakuten BIG s」の全バージョン。

　これらの端末では、起動時の検証を行うAVB機能に、AOSP（Android Open Source Project）のテスト用鍵がそのまま使用されていたことが判明した。

　この脆弱性は、ファームウェアの正当性を確認する仕組みに不備が存在し、改ざんされたファームウェアが正規のものとして認識される可能性があるというもの。端末を一時的に操作可能な攻撃者により、改ざんされたファームウェアや細工されたシステムイメージがインストールされ、端末の権限取得や不正なプログラムの実行、製品の設定変更が行われる危険性がある。

　楽天モバイルによると、対象製品はすべてサポートを終了している。修正プログラムなどの配信予定はなく、製品の利用を停止したうえで後続製品への乗り換えなどを検討するよう案内している。