無音でAndroid機能停止、SMS脆弱性にGoogleは「修正しない」判定
姉妹サイトの新着
Android端末宛てに電話番号だけを使ってSMSを送るだけで、相手に何も表示させずに機能停止に追い込める「ゼロクリック」の脆弱性が報告され、Hacker Newsで話題になっていた。報告者はGoogleの脆弱性報奨金制度(VRP)に届けたが、Google自身の分類表にある「破壊的なリモートDoS」に当てはまるはずなのに「一時的なDoSは対象外」として「修正しない」判定が下されたという。スレでは、これが本当に悪用可能な深刻なバグなのか、AIが誇張して書いた「セキュリティごっこ」にすぎないのかで意見が割れ、Googleの審査がAI生成の報告の急増に埋もれて誤分類している可能性も指摘されていた。
クリック不要、無音、リモートからのAndroid機能停止攻撃
出典: smsofdeath.com / 元記事はこちら
携帯を鳴らした客を後ろの席に追いやる方が簡単じゃないか?
自分に割り当てられていないissueは見れない仕様。以前VRPで報告したバグが別IDの重複扱いにされて、元の報告を見られなくなったことがある。
セキュリティissueとして登録されたなら、ちゃんと運用されているプロジェクトなら報告者と内部のセキュリティ監査チームだけに見えるようにするのが普通。トラッカー上で機密解除されていないだけかもしれない。
それはやばすぎる。どういう経緯でそんなことになったのか知りたい。軽く検索しても関連情報が見つからないけど、リンクある?
騒ぎでもあり本物の問題でもある。WAP Pushはsms経由でURLを送る古い規格。バグ自体は馬鹿げているけど実在する。Googleの判定はかなり曖昧で、一時的なDoSは対象外と言った上で、それ以上の調査は拒否してきた。
自分も理解できない。GoogleはAIが生成した報告の山と件数の多さに埋もれていて、サードパーティが運用するAI支援で研究者からの報告を処理しているから、正当な報告もすり抜けてしまう。
自分が見た限り、次のASB(Android Security Bulletin)でこの問題は直りそう。もしかして伝え忘れただけかも:/
それは残念。何らかの振り分けはすべきだと思う。これと同等かそれ以上に悪いバグに常に追われている状況でないことを願うけど、驚くほどのことでもないんだろうな。
え、こんなSMSをどうやって送るんだ?携帯網がそんなSMSを受け付けて転送すること自体あるのか?この手のvibe(AI生成っぽい)な文章を読み解くのはちょっと骨が折れる。
携帯網は特定キャリア専用のメッセージかどうかを確認せずに受け付け・転送してしまう。10年くらい前、『ボイスメール受信』メッセージを送って遊んだことがあるけど、Android端末に絶対に消せない通知が出て面白かった。たしかHTC端末限定でroot/xposedが必要だったはず。SS7自体、接続先システムを全面的に信用する前提で作られている。
サイトにはAPKが置いてあるみたい。でも全部のSMSがユーザー向けのテキストメッセージというわけではない。
気になるならcurlするか、リポジトリを見て確認して https://github.com/MarkBlah/smsofdeath/
その習慣はheartbleedのせい。ChatGPTやvibecodingよりずっと前からある。人間の心理としてそうなるだけ。CVE-2014-0160だと誰も食いつかないけど、heartbleedと言えば当時を知る人は全員覚えてる。
CVEが無くて『直さない』判定のときはいいアイデアだと思う。この慣習が無かった頃は、エクスプロイトを公開して混乱が起きるのを待つしかなかった。
同意。みんなgopherを使ってウェブ通信を全部ブロックし、テキストベースのシステムに戻って、シングルスレッドOSとトークンリングNICを使うべきだ
つまりキャリアは常に信用できるってことか。それなら機能とも言えるな。
少なくとも、わざとスマホを壊すようなことをキャリアがしないとは信じてる。特に何をしたか痕跡が残る方法ではね。
キャリアをそのまま信用すべきとは思わないけど、通話を切りたければキャリアは単に接続を切れば済む。
これがユーザーが選べるオプションなら自分は有効にする。SMSを一切受信しなくなるわけじゃなく、おやすみモードに入るだけなら。
AndroidやiOSが特定の場所で位置情報ベースのおやすみモードを有効にできない理由が分からない。もちろんオプションにすればいいだけで、どのみち位置情報は握っているし、そこがオペラハウスや劇場だということも分かるはず…
位置情報をトリガーにしたアクションを設定できるアプリはいくらでもある
iOSのフォーカスモードなら位置情報ベースの起動('職場に着いたら'など)は既にできる
『できるなら』のifがものすごく重い。本当に書いてある通りのことができるのか?LLMは常に、ソフトウェア史上最悪のバグを見つけたと幻覚を見ている。
いい指摘。自分も分からない、だからこういう言い方にした。
追記: 言いたいのは、セキュリティ関連の話では最初の報告に対してもう少し素直に受け止めても害は無いんじゃないかということ(理論上は。LLM生成物の洪水にどう対処するのが一番いいのか分からないけど。LLM同士を突き合わせるのも良い方法とは思えない)。
Claudeが何でも『シェイプ』と言う最近の傾向が理不尽にイライラする。『XはYのようなものだ』をこんな馬鹿げた言い方で表現するなんて。
この傾向、自分もすごく嫌。というのも自分の頭は実際そういう仕組みで動いていて、概念やアイデアが3D空間に存在していて互いに似ている、という感覚があるから。昔はこういう書き方をしていたけど、もう書けなくなった(学習データにこういう書き方をする人が十分多かったから言葉として定着したんだと思う)。
他サイトの新着
キャリアはメッセージ経由でアクセスポイントをリセットできる。小学1年生の自分の子供が急にネットにつながるようになったとき、痛い目を見て学んだ…
家のネットワーク機器をもっといいものにした方がいいと思う。自分の契約してるプロバイダから遠隔管理ルーターを渡されたけど、設定を変えるのは簡単で普通に動いた。
01 06 88 80 80 80 00 BE → ポート2948宛のデータSMSとして送信される
WAP Pushやその仕組みに詳しくないんだけど、root化していない端末でこれを無効化したりそのポートをブロックしたりできる?
WAP PushはURLのダウンロードを端末にトリガーさせる特殊な形式のSMS。あいにくこの脆弱性はSMSの解析段階を直撃しているようで、簡単には無効化できないと思う。
彼らはトリアージした、だからこそwontfixになった。false negativeだったとしたら、こちらにできることは正直分からない。本物の問題なら、いつか別のLLMが再発見して、今度は正しく判定されるかもしれない。
そうだね、『誤って分類した』と書くべきだった、もし報告通りに動くなら。Googleが問題にならないと判断する何か別の根拠を知っているなら、教えてくれるといいんだけど。
つまり劇場の隣のカフェに座っているとか、路上で誰かと話しているときも同じ状況ってことか。
そうだね、カフェにいる場合は(10分以上いることが多いだろうから)問題になるかもしれない。でも機能をオフにすることもできるし、賢いシステムなら離れて戻ってきた直後に10分経ったからって勝手にオンに戻したりはしないはず。
この話題の背景と論点
この脆弱性はSMSの古い規格「WAP Push」のパース処理を狙ったもので、電話番号さえ分かればリモートから無音でAndroid端末を機能停止に追い込めるとされる。Googleの脆弱性報奨金制度(VRP)には「破壊的なリモートDoS」という自社の分類が既にあるにもかかわらず、今回は「一時的なDoSは対象外」として「修正しない」判定が下された。スレで割れたのは、これが本物の深刻なバグなのか、AIに書かせた誇張気味の「セキュリティごっこ」なのかという点。背景には、AI支援ツールで処理しきれないほど脆弱性報告が急増し、正当な報告が誤分類で埋もれているというGoogle側の運用上の問題がある。また「heartbleedのような命名文化」が、CVE番号ではなく専用サイトと名前を作ることで注目を集める実務的な戦略として機能してきた経緯も語られており、単なる煽りではなく過去に効果があった手法として挙がっている。あわせて脱線気味に、AIが多用する「shapeという言い回し」への違和感も話題になった。
※本記事は海外掲示板 Hacker News のスレッド「Zero click, silent, remote Android DoS」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
まだコメントはありません。