概要
Freedom Factory dGEN1のバージョン20260221までの製品において、`org.ethosmobile.ethoslauncher`コンポーネント内の`FakeAppProvider`機能に不適切な認証の脆弱性（CVE-2026-3674）が報告されています。この脆弱性は、ローカルからの操作によって不適切な権限付与が発生する可能性があるとされています。
影響範囲
本脆弱性の影響を受けるのは、Freedom Factory dGEN1のバージョン20260221までの製品です。具体的には、`org.ethosmobile.ethoslauncher`コンポーネントの`FakeAppProvider`機能が対象とされています。
想定される影響
不適切な認証により、攻撃者が本来アクセスできないはずの機能やデータにアクセスしたり、意図しない操作を実行したりする可能性があります。これにより、システムの整合性や機密性が損なわれる恐れがあります。
攻撃成立条件・悪用状況
- 攻撃はローカル環境から開始される必要があります。つまり、攻撃者は対象システムへの物理的または論理的なローカルアクセス権を持っている必要があると考えられます。
- この脆弱性に対するエクスプロイトコードはすでに公開されており、悪用される可能性があると報告されています。
- ベンダーには早期に開示されたものの、現時点では応答がないとされています。
推奨対策
今すぐできる対策（優先度：高）
- ベンダーからの公式パッチやアップデートが提供され次第、速やかに適用してください。
- システムへのローカルアクセスを厳しく制限し、信頼できないユーザーがアクセスできないようにしてください。
中長期的な対策
- システム監視を強化し、不審なアクティビティや権限昇格の試みがないか継続的に監視してください。
- セキュリティ情報源を定期的に確認し、本脆弱性に関する追加情報やベンダーからのアナウンスに注意を払ってください。
一時的な緩和策
ローカルからのアクセス制御を強化することが最も直接的な緩和策と考えられます。また、不要なサービスやコンポーネントを無効にすることも検討してください。
確認方法
- お使いのFreedom Factory dGEN1のバージョンが20260221以前であるかを確認してください。
- `org.ethosmobile.ethoslauncher`コンポーネントの利用状況を確認してください。
参考情報
- CVE-2026-3674 詳細情報: https://cvefeed.io/vuln/detail/CVE-2026-3674