サイバーセキュリティ

複数のLenovo製タブレットのAndroid Verified Boot機能において既知のテスト用鍵がそのまま使用されている問題

Lenovoが提供する複数のタブレットのAVB（Android Verified Boot）機能で、AOSPで公開されているテスト用の鍵がそのまま使用されている脆弱性が公表された。脆弱性種別はCWE-1391（脆弱な認証情報の使用）で、CVE-2026-92777が付与されている。当該デバイスへの物理的アクセスにより、細工されたシステムイメージをインストールされる可能性があるとされる。影響製品の詳細は本文からは確認できず、ベンダ情報を参照する必要がある。

最終確認日: 2026-10-20

この発表の要点

Lenovo製複数タブレットのAVB機能で、AOSP公開のテスト用鍵がそのまま使用されている（CWE-1391、CVE-2026-92777）
CVSS v4.0基本値7.0、CVSS v3.0基本値6.6。物理的アクセスにより細工されたシステムイメージをインストールされる可能性がある
サポート終了製品には修正が提供されないとされ、後続製品への乗り換えが検討事項として示されている

企業・自治体への影響

社内でLenovo製タブレットを業務利用している企業・自治体では、情報システム部門が機器の機種と利用状況を確認する必要がある。また、機器の物理的管理を担う総務部門にも、紛失・持ち出し・第三者による物理アクセスのリスク管理の観点で影響が及ぶ可能性がある。製品ごとの影響範囲は本文からは確認できない。

対応すべきこと

公式出典（JVN、ベンダ情報）で、自社が利用するLenovo製タブレットの機種・型番が対象に該当するかを確認する
開発者が提供する情報に基づき、最新版へのアップデート可否を確認する
サポート終了製品の利用状況を棚卸しし、後続製品への乗り換えを検討する
情報システム部門と総務部門で本件を共有し、対象機器の物理的管理を見直す

対象部門： 情シス総務

対応期限：速やかに確認

基本データ

企業・団体	JPCERT/CCおよびIPA（JVN）
業界	IT・ソフトウェア
発表日	2026-10-20
分類	サイバーセキュリティ

発表された内容

公開日：2026/10/20 最終更新日：2026/10/20

JVN#33436631
複数のLenovo製タブレットのAndroid Verified Boot機能において既知のテスト用鍵がそのまま使用されている問題

Lenovoが提供する複数のタブレットのAVB（Android Verified Boot）機能では、AOSP（Android Open Source Project）で公開されているテスト用の鍵をそのまま使用しています。

影響を受ける製品は多岐に渡ります。詳細については「ベンダ情報」を参照してください。

脆弱な認証情報の使用（CWE-1391）

CVSS:4.0/AV:P/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 7.0
CVSS:3.0/AV:P/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値 6.6
CVE-2026-92777

当該デバイスへの物理的アクセスにより、細工されたシステムイメージをインストールされる可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

現行製品の利用を停止し、後続製品に乗り換える
開発者によると、すでにサポートが終了している製品へは修正が提供されないとのことです。後続製品への乗り換え等を検討してください。

ベンダ

リンク

Lenovo

Lenovo Tablet Vulnerability

Android-Device-Security.OrgAVBTestKeyInTheWild: Bypassing Android Verified Boot Using A Firmware Supply Chain Vulnerability on Locked Devices

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。
報告者：松原正佳氏

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

JVN iPedia

JVNDB-2026-000153

JVN
HOME
JVNとは
脆弱性レポートの読み方
脆弱性レポート一覧
VN_JP
VN_JP（連絡不能）
VN_VU
VN_TA
TRnotes
JVN iPedia
MyJVN
JVNJS/RSS
ベンダ情報一覧
連絡不能開発者一覧
脆弱性情報の届出
お問合せ先

出典: jvn@jvn.jp
URL: https://jvn.jp/jp/JVN33436631/

時系列

2026-10-20　JVN#33436631として公開
2026-10-20　最終更新

この事例から確認すべきポイント

本件は、Lenovo製タブレットのAVB機能が、AOSPで公開されているテスト用の鍵をそのまま使用しているという脆弱性である。CVSS v4.0基本値は7.0、CVSS v3.0基本値は6.6と公表されており、攻撃条件は物理的アクセスとされている。原文では、当該デバイスへの物理的アクセスにより細工されたシステムイメージをインストールされる可能性が示されている。影響を受ける製品は多岐にわたるとされるが、本文からは個別の製品名や型番を確認できず、詳細は「ベンダ情報」の参照が求められている。広報・実務上は、自社がLenovo製タブレットを業務利用しているか、また調達・管理している機器がAVB関連の影響対象に該当するかを、公式出典で確認することが重要である。対応策として、開発者が提供する情報に基づく最新版へのアップデートが案内されている一方、サポート終了製品には修正が提供されないとされ、後続製品への乗り換えが検討事項として示されている。

公式出典

JVN（JPCERT/CC・IPA）

更新履歴

公開日: 2026-10-20 ／最終確認: 2026-10-20

執筆・確認主体

この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。要約と分類の生成にはAIを使用しています。

数値・日付・組織名・金額は公式発表の原文から転記しており、原文に記載のない事項を補って書くことはしていません。内容の正確性は公式出典をご確認ください。

編集・公開: PRaze編集部（株式会社スキルマーク）／出典確認日: 2026-10-20