主要メーカーのAndroidデバイスでATコマンド関連の脆弱性が発見される

taraiok 曰く、

11人の科学者チームが、AndroidデバイスでサポートされているATコマンドのタイプを調べた。その結果、主要Androidメーカーの製品が、タッチスクリーンインターフェースなどに合わせてATコマンドセットをカスタマイズして搭載し、それが脆弱性に繋がっていることが分かった。調査対象となったのは、ASUS、Google、HTC、Huawei、Lenovo、LG、LineageOS、Motorola、Samsung、Sony、ZTEなどの11社の製品。研究チームは、これらのデバイスが3,500種類以上のATコマンドをサポートしていることを発見した（Bleeping Computer、slashdot）。

スマートフォンのATコマンドはUSBインターフェイスを介して公開されている。攻撃者がUSB経由でターゲットとなる電話機に接続すると、秘密のATコマンドのいずれかを使用し、デバイスのファームウェアを書き換えたり、Androidのセキュリティメカニズムを迂回したり、機密情報を漏洩したり、スクリーンロックを解除したりできる。多くのATコマンドは、電話機のUSBデバッグ機能が有効になっている場合にのみ使用できるとされる。しかし、今回の調査では、ロック状態でも攻撃者がATコマンドに直接アクセスできる製品が数多く発見されたとしている。調査チームは、今回発見した問題をメーカーに通知したとしている。