Google Chromium V8 の範囲外読み取りの脆弱性（CVE-2016-5198）

何が起きた

Google Chrome の中で JavaScript を動かす部品 V8 で、処理を速くするための最適化の前提が誤っており、メモリーの決められた範囲の外を読み書きできてしまう弱点（範囲外アクセス）が見つかりました。細工された HTML ページを開くと、攻撃者がメモリーを好きに読み書きし、コードの実行につながるおそれがあります。ネットワーク経由で離れた場所からログイン不要で狙えますが、利用者がページを開く操作が必要です。この弱点は、実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Windows と Mac で 54.0.2840.87 より前、Linux で 54.0.2840.90 より前、Android で 54.0.2840.85 より前の Google Chrome を使っている人が対象です。CISA によると、Chromium を使う他のブラウザ（Microsoft Edge や Opera など）にも影響する可能性があります。

何をすればいい

Google Chrome を、Windows と Mac では 54.0.2840.87 以降、Linux では 54.0.2840.90 以降、Android では 54.0.2840.85 以降に更新されているか確認してください。Chromium を使う他のブラウザも、それぞれのメーカーの更新を当ててください。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

• Windows と Mac の Chrome を 54.0.2840.87 以降にする
• Linux の Chrome を 54.0.2840.90 以降に更新する
• Android の Chrome を 54.0.2840.85 以降に更新する

用語メモ

V8

Google Chrome などで JavaScript を動かすための部品です。

範囲外アクセス

プログラムが、使ってよいと決められたメモリーの外側を読んだり書いたりしてしまう不具合です。

最適化

プログラムを速く動かすために、処理のやり方を自動で工夫する仕組みです。