最近の脆弱性 › CVE-2019-13720

Google Chrome WebAudio のuse-after-freeの脆弱性（CVE-2019-13720）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2019-13720
製品	Google Chrome WebAudio
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-05-23
米国政府機関の対応期限	2022-06-13
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-416

何が起きた

Google Chrome の WebAudio（Web ページで音を扱う機能）に、解放したメモリーを使い続けてしまう誤り（use after free）があり、細工された HTML ページを開くとメモリーを壊される可能性がある弱点が見つかりました。実際に悪用されたことが確認されており、Google も悪用の手段が出回っているという報告を把握しているとしています。攻撃者はログイン不要でネットワーク経由から狙えますが、利用者が細工されたページを開く必要があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

78.0.3904.87 より前の Google Chrome を使っている人が対象です。

何をすればいい

Google Chrome が 78.0.3904.87 以降に更新されているか確認してください。Chrome の設定にある「Chrome について」の画面で版を確かめ、更新できます。公式の案内を確認して対応してください。

やることチェックリスト

Chrome を 78.0.3904.87 以降に更新する
Chrome についての画面で版を確かめる
知らない相手からのリンクを開かないようにする

用語メモ

use after free: 一度片付けた（解放した）メモリーを、プログラムが誤って使い続けてしまう不具合です。
HTML: Web ページの中身や形を書き表すための言葉（形式）です。

元データ（英語・CISA KEV より）

Google Chrome WebAudio Use-After-Free Vulnerability

概要

Google Chrome WebAudio contains a use-after-free vulnerability that allows a remote attacker to potentially exploit heap corruption via a crafted HTML page.

推奨対応

Apply updates per vendor instructions.