CVE-2026-28576: Android Contacts Provider の SQL インジェクションと体系的なデータ窃取

エグゼクティブサマリー

CVE-2026-28576 は、Android Contacts Provider フレームワーク (ContactsProvider2.queryLocal()) における重大なアクセス制御の脆弱性です。この欠陥により、宣言されたパーミッションがゼロ の状態でローカルにインストールされた非特権アプリケーションが、デバイス全体の連絡先データベースを窃取でき、氏名、電話番号、住所、メールアドレスを含むすべての情報が漏洩します。

脆弱性の詳細

根本原因

この脆弱性は、Android Contacts Provider フレームワーク (packages/providers/ContactsProvider) 内の ContactsProvider2.queryLocal() メソッドに存在します。このメソッドは、サニタイズされていないユーザー制御の入力を使用して SQL クエリを構築し、ContentResolver.query() を介して渡される selection および selectionArgs パラメータを通じた SQL インジェクションを可能にします。

影響を受けるコードパス

ContentResolver.query()
    → ContactsProvider2.query()
        → ContactsProvider2.queryLocal()  [VULNERABLE]
            → SQLiteQueryBuilder.buildQuery()
                → Raw SQL execution with unsanitized input

脆弱なパラメータ

• selection (String): パラメータ化されていない WHERE 句
• selectionArgs (String[]): 不適切にエスケープされた引数
• uri (Uri): content://com.android.contacts/... を対象とする Content URI

悪用の前提条件

• パーミッション不要 - READ_CONTACTS、READ_PRIVILEGED_PHONE_STATE、その他の危険なパーミッションは一切不要
• ユーザー操作不要 - サイレントなバックグラウンド悪用
• ローカルアプリのインストール - デバイスにインストールされた任意のアプリ (Play Store、サイドロードなど)
• Android バージョン - Android 17 セキュリティパッチ (2026 年 6 月) より前の影響を受けるバージョン

技術分析

SQL インジェクションのメカニズム

queryLocal() メソッドは、selection パラメータを適切にパラメータ化せずに SQL WHERE 句に直接連結して処理します:

// Simplified vulnerable pattern in ContactsProvider2.java
public Cursor queryLocal(Uri uri, String[] projection, String selection,
                         String[] selectionArgs, String sortOrder) {
    SQLiteQueryBuilder qb = new SQLiteQueryBuilder();
    qb.setTables(Tables.CONTACTS);
    
    // VULNERABLE: selection directly interpolated into SQL
    String whereClause = buildWhereClause(selection, selectionArgs);
    
    Cursor c = qb.query(db, projection, whereClause, null, null, null, sortOrder);
    return c;
}

攻撃者は、次のような悪意のある selection パラメータを作成します:

"1=1) UNION SELECT _id, display_name, phone_number, email_address, postal_address FROM raw_contacts--"

これにより、意図されたクエリロジックがバイパスされ、すべての連絡先フィールドが抽出されます。

データ窃取の範囲

攻撃フロー

graph TD
    A[Malicious App Installed] --> B[Request ContentResolver.query]
    B --> C[Craft SQL Injection Payload]
    C --> D[Target content://com.android.contacts/data]
    D --> E[ContactsProvider2.queryLocal]
    E --> F[Unsanitized selection parameter]
    F --> G[SQL Injection Executed]
    G --> H[Full Contacts DB Returned]
    H --> I[Exfiltrate via Network/Logs]

影響評価

機密性への影響: 高

• 連絡先データベース全体の窃取
• PII の露出: 氏名、電話番号、メールアドレス、住所
• 企業連絡先の漏洩 (BYOD シナリオ)
• ソーシャルエンジニアリングの可能化 (スピアフィッシング、ビッシング)

完全性への影響: 高

• UNION/UPDATE インジェクションによる連絡先データの改ざんの可能性
• ソーシャルエンジニアリングのための連絡先なりすまし
• 悪意のある連絡先の挿入

可用性への影響: 高

• リソース枯渇による DoS (大量のクエリ結果)
• データベースのロック/ブロッキング
• 不正なクエリによるプロバイダのクラッシュ

規制への影響

• GDPR: 個人データ侵害 (第 33 条の通知が必要)
• CCPA: 個人情報への不正アクセス
• HIPAA: 医療連絡先が保存されている場合の PHI 露出の可能性
• PCI DSS: 連絡先メモ内のカード会員データの露出

影響を受けるバージョン

ベンダーアドバイザリ

• Google Android Security Bulletin: Android 17 (2026 年 6 月)
• GitHub Advisory: GHSA-ph86-9mcx-3p6r
• NVD: CVE-2026-28576 (2026 年 6 月 17 日公開)

検出と緩和

検出ルール

YARA ルール

rule Android_ContactsProvider_SQLi_CVE_2026_28576 {
    meta:
        description = "Detects SQL injection payloads targeting ContactsProvider"
        cve = "CVE-2026-28576"
        severity = "critical"
    strings:
        $s1 = "content://com.android.contacts" nocase
        $s2 = "UNION SELECT" nocase
        $s3 = "raw_contacts" nocase
        $s4 = "data1" nocase
        $s5 = "1=1" nocase
    condition:
        $s1 and 2 of ($s2, $s3, $s4, $s5)
}

ネットワーク検出 (Suricata)

alert http any any -> any any (
    msg:"CVE-2026-28576 Contacts Exfiltration";
    flow:established,to_server;
    content:"contacts";
    http.uri;
    pcre:"/UNION.*SELECT.*raw_contacts/i";
    classtype:web-application-attack;
    sid:202628576;
    rev:1;
)

緩和戦略

1. 即時対応: Android 17 2026 年 6 月セキュリティパッチを適用する
2. 回避策: SELinux ポリシーを介して ContentResolver.query() を制限する
3. 監視: 異常な selection パラメータについて ContactsProvider クエリログを監査する
4. アプリ審査: READ_CONTACTS パーミッションなしで content://com.android.contacts URI を使用しているアプリをスキャンする

参考文献

• GitHub Advisory GHSA-ph86-9mcx-3p6r
• NVD CVE-2026-28576
• Android Security Bulletin - Android 17
• Android Bug A-488593616
• CWE-89: SQL Injection

CVE-2026-28576 研究リポジトリ用に生成されたドキュメント 最終更新: 2025 年 9 月