最近の脆弱性 › CVE-2018-8298

ChakraCore ChakraCore scripting engine の型の取り違えの脆弱性（CVE-2018-8298）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2018-8298
製品	ChakraCore ChakraCore scripting engine
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-03-03
米国政府機関の対応期限	2022-03-17
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-843

何が起きた

Microsoft のスクリプトエンジン ChakraCore に、データの種類（型）を取り違えてメモリ上のオブジェクトを扱ってしまう弱点が見つかり、実際に悪用が確認されています。NVD の評価では、攻撃者はネットワーク経由で悪用でき、ログインは要りませんが、利用者の操作が必要です。Microsoft によると、メモリが壊され、利用中の人と同じ権限で任意の（攻撃者が好きに選べる）コードを実行されるおそれがあり、管理者権限で使っているとシステムを乗っ取られるおそれもあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ChakraCore（C の API を持つオープンソースの JavaScript エンジン）を組み込んだアプリやサービスを作っている開発者や、それを使う組織が影響を受けます。影響を受ける具体的なバージョンは、このデータからは不明です。

何をすればいい

Microsoft は、ChakraCore の v1.10.1 のリリースをこの弱点のセキュリティ更新として案内しており、ChakraCore のリリースノートでも v1.10.1 のセキュリティの変更に CVE-2018-8298 が挙がっています。使っている ChakraCore を v1.10.1 以降に更新し、更新されているか確認してください。なお ChakraCore の GitHub の説明によると、Microsoft による ChakraCore 1.11 のセキュリティ更新は 2021年3月9日までで、その後はコミュニティのプロジェクトとして続ける予定とされています。Microsoft の公式の案内も確認してください。

やることチェックリスト

組み込んでいる ChakraCore の版を確認する
ChakraCore を v1.10.1 以降に更新する
更新後の ChakraCore の版を確かめる

用語メモ

スクリプトエンジン: JavaScript などで書かれたプログラム（スクリプト）を読み込んで実行する部品です。
オブジェクト: プログラムがメモリの中で扱う、データとその扱い方をひとまとめにしたものです。
API: あるソフトの機能を、別のプログラムから呼び出して使うための決まりごとです。

元データ（英語・CISA KEV より）

ChakraCore Scripting Engine Type Confusion Vulnerability

概要

The ChakraCore scripting engine contains a type confusion vulnerability which can allow for remote code execution.

推奨対応

Apply updates per vendor instructions.