Kaspersky ICS CERTがQualcomm SnapdragonチップセットのBootROMに脆弱性を発見しました

Subject: [Security Notice] Caution Regarding Public USB Charging Ports

Hi everyone,

A vulnerability has been reported in devices using Qualcomm Snapdragon chipsets (such as smartphones and tablets) that could allow an attacker to compromise the device via a physical connection.

Requested Actions:
1. Avoid using untrusted USB charging stations or ports in public areas, such as airports or hotels.
2. Ensure your devices are physically secure and never left unattended or handed over to unauthorized individuals.

Please keep these precautions in mind for your security.

件名: 【共有】Qualcomm Snapdragon BootROMの脆弱性について

お疲れさまです。Snapdragonチップセットの脆弱性に関する情報共有です。

■ 概要
Kaspersky ICS CERTにより、Qualcomm SnapdragonのBootROM（ハードウェアレベルのブートプロセッサ）に脆弱性が発見されました。Qualcomm Saharaプロトコルの不備により、緊急ダウンロード（EDL）モードを介して、物理的に接続された攻撃者がデバイスを操作できる可能性があります。

■ 影響範囲
- Snapdragonチップセットを搭載したスマートフォン、タブレット、車載機器、IoTデバイス

■ 対応手順
1. ユーザーに対し、公共のUSB充電ポート（ジュースジャッキング等のリスク）の利用禁止を周知してください。
2. 物理的なデバイス管理（紛失・盗難防止）の徹底を指示してください。
3. 本脆弱性はBootROMに存在するため、ハードウェアレベルの修正が困難な場合があります。ベンダーからの今後のアップデート情報を継続的に監視してください。

■ 参考情報
- Kaspersky ICS CERT / xakep

対応優先度: 高（物理アクセスを伴うリスクがあるため、速やかな注意喚起を推奨）

Subject: [Security Advisory] Vulnerability in Qualcomm Snapdragon BootROM

Hi,

This is a security notification regarding a vulnerability discovered in Qualcomm Snapdragon chipsets.

■ Overview
Kaspersky ICS CERT has identified a vulnerability in the BootROM of Qualcomm Snapdragon chipsets. Due to a flaw in the Qualcomm Sahara protocol used in Emergency Download (EDL) mode, an attacker with physical access to the device can potentially compromise it via a cable connection.

■ Scope
- Devices equipped with Snapdragon chipsets, including smartphones, tablets, automotive components, and IoT devices.

■ Recommended Actions
1. Advise users to avoid using untrusted public USB charging stations (mitigating juice-jacking risks).
2. Enforce strict physical device management policies to prevent unauthorized access.
3. Since this is a BootROM vulnerability, hardware-level patching may be limited. Please monitor vendor advisories for any available firmware mitigations.

■ Reference
- Kaspersky ICS CERT / xakep

Priority: High (Prompt notification to users is recommended due to the nature of the physical attack vector).