50,000ドルのエクスプロイトチェーンはいかにBixbyをサムスン端末攻撃に転用したか

BLACK HAT – 2人のセキュリティ研究者が、仮想アシスタント「Bixby」を含むサムスンのソフトウェアに存在する脆弱性を悪用し、モバイル端末をハッキングする手法を発見しました。

この研究を行ったのは、Microsoftのシニアセキュリティ研究者であるDimitrios Valsamaras氏と、Mobile Hacking Labでモバイル研究部門を率いるKen Gannon氏です。

Gannon氏とValsamaras氏は2025年10月に開催されたPwn2Own Irelandハッキングコンテストでこれらの脆弱性を実演し、Samsung Galaxy S25端末のハッキングに成功して50,000ドルを獲得しました。

両研究者は今回、Black Hatカンファレンスでの講演で調査結果を詳しく解説し、発見した脆弱性の内容と、それらをどのように連鎖させてリモートでのシステムレベル侵害を達成したかを明らかにしました。

Gannon氏とValsamaras氏が開発したエクスプロイトは、まず攻撃者が悪意のある広告やメッセージアプリを通じてリンクを送りつけ、標的となるユーザーにクリックさせるところから始まります。

被害者がリンクをクリックすると、CVE-2025-21079として追跡されている脆弱性が悪用され、Samsung Membersが強制的に悪意のあるウェブサイトへ接続させられます。Samsung Membersは、公式のユーザーコミュニティ・診断・サポート用アプリで、多くのミドルレンジおよびフラッグシップのGalaxyスマートフォンにプリインストールされています。

この悪意のあるサイトは、続いてSamsung Membersを操作し、ユーザーをサムスンのサービスに接続するために設計されたSamsung Accountアプリを起動させます。

次に、別の脆弱性であるCVE-2025-58486を使い、Samsung Accountを強制的に攻撃者が管理するウェブサイトへ接続させます。このサイトは、CVE-2025-58487として追跡されているXSS脆弱性を悪用し、Samsung Accountを操作して、音声コマンドやビジュアル検索、デバイスの自動化ルーティンを処理できる仮想アシスタント「Bixby」を起動させます。

両研究者はSecurityWeekに対し、これが可能なのはSamsung AccountアプリがBixby内の特定の「エントリーポイント」とやり取りするために必要な特別な権限を持っているためだと説明しています。

「いわば『裏口』のようなもので、Samsung Accountはたまたまその『裏口』の鍵を持っている存在なのです」とGannon氏は説明しています。

攻撃の次の段階では「Capsule」が関わってきます。Capsuleとは、アプリ内部に隠された、ミニ内部サーバーのように機能するバックグラウンドサービスです。ユーザーが音声コマンドを発すると、Bixbyはそのリクエストを解釈し、実際のタスクを実行するためにアプリのCapsuleへ送信します。Capsuleはアプリの機能を直接制御できるため、サムスンは通常Bixbyのみがそれらと通信できるようアクセスを制限しています。

しかし両研究者は、サムスン端末上のCapsuleインフラをリバースエンジニアリングし、Bixbyにさまざまなcapsuleを悪意ある形で使わせる方法を見つけ出しました。

これにより攻撃者は機密データを窃取できるだけでなく、Android端末上でシステムレベルの権限を取得できるようになります。これは一般消費者向け端末で到達しうる最高の権限レベルです。

両研究者は、攻撃者がいったん「system」権限を取得すれば、リモートコード実行を達成し、端末を完全に制御できることを実演しました。

両研究者によると、このエクスプロイトはSamsung Galaxy S25、S24、Flip 7の各スマートフォンで再現に成功したとのことです。

サムスンが脆弱性を修正

サムスンはPwn2Ownコンテストから数週間後、脆弱性の修正に着手しました。具体的には、2025年11月にSamsung Membersアプリケーション向けのパッチを展開し、ウェブブラウザやメッセージアプリ経由でエクスプロイトチェーンが発動するのを防止しました。さらに12月にリリースされたパッチでは、Samsung Accountの不具合も修正されています。

両研究者はSecurityWeekに対し、この攻撃はパッチが適用されていない可能性のある旧型のサムスン端末でも機能するとしながらも、エクスプロイトの実行には標的となるすべてのアプリがインストールされている必要があると指摘しています。フラッグシップモデルにはこれらのアプリが標準でプリインストールされていますが、廉価モデルにも同様に当てはまるかどうかは不明だとしています。

サムスンはSecurityWeekのコメント要請に応じていません。