ChakraCore scripting engine の型の取り違えの脆弱性（CVE-2018-8298）

何が起きた

Microsoft のスクリプトエンジン ChakraCore に、データの種類（型）を取り違えてメモリ上のオブジェクトを扱ってしまう弱点が見つかり、実際に悪用が確認されています。NVD の評価では、攻撃者はネットワーク経由で悪用でき、ログインは要りませんが、利用者の操作が必要です。Microsoft によると、メモリが壊され、利用中の人と同じ権限で任意の（攻撃者が好きに選べる）コードを実行されるおそれがあり、管理者権限で使っているとシステムを乗っ取られるおそれもあります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ChakraCore（C の API を持つオープンソースの JavaScript エンジン）を組み込んだアプリやサービスを作っている開発者や、それを使う組織が影響を受けます。影響を受ける具体的なバージョンは、このデータからは不明です。

何をすればいい

Microsoft は、ChakraCore の v1.10.1 のリリースをこの弱点のセキュリティ更新として案内しており、ChakraCore のリリースノートでも v1.10.1 のセキュリティの変更に CVE-2018-8298 が挙がっています。使っている ChakraCore を v1.10.1 以降に更新し、更新されているか確認してください。なお ChakraCore の GitHub の説明によると、Microsoft による ChakraCore 1.11 のセキュリティ更新は 2021年3月9日までで、その後はコミュニティのプロジェクトとして続ける予定とされています。Microsoft の公式の案内も確認してください。

やることチェックリスト

• 組み込んでいる ChakraCore の版を確認する
• ChakraCore を v1.10.1 以降に更新する
• 更新後の ChakraCore の版を確かめる

用語メモ

スクリプトエンジン 用語集で見る

JavaScript などで書かれたプログラム（スクリプト）を読み込んで実行する部品です。

オブジェクト

プログラムがメモリの中で扱う、データとその扱い方をひとまとめにしたものです。

API 用語集で見る

あるソフトの機能を、別のプログラムから呼び出して使うための決まりごとです。