• ひとことでGoogle Chrome の音声処理の部分で、メモリーを壊されるおそれがある弱点です。
  • 深刻度8.8 重要CVSS v3.1
  • まずやることChrome を 78.0.3904.87 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2019-13720
製品Google Chrome WebAudio
深刻度（CVSS）8.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2022-05-23
米国政府機関の対応期限2022-06-13
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-416（解放済みメモリの使用）

何が起きた

Google Chrome の WebAudio（Web ページで音を扱う機能）に、解放したメモリーを使い続けてしまう誤り（use after free）があり、細工された HTML ページを開くとメモリーを壊される可能性がある弱点が見つかりました。実際に悪用されたことが確認されており、Google も悪用の手段が出回っているという報告を把握しているとしています。攻撃者はログイン不要でネットワーク経由から狙えますが、利用者が細工されたページを開く必要があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した HTML ページを用意する → 2. 利用者がそのページを開く → 3. WebAudio の不具合が突かれる → 4. メモリーが壊され悪用される1攻撃者が細工した HTML ページを用意する2利用者がそのページを開く3WebAudio の不具合が突かれる4メモリーが壊され悪用される攻撃の流れ: 1. 攻撃者が細工した HTML ページを用意する → 2. 利用者がそのページを開く → 3. WebAudio の不具合が突かれる → 4. メモリーが壊され悪用される1攻撃者が細工した HTML ページを用意する2利用者がそのページを開く3WebAudio の不具合が突かれる4メモリーが壊され悪用される攻撃の流れ: 1. 攻撃者が細工した HTML ページを用意する → 2. 利用者がそのページを開く → 3. WebAudio の不具合が突かれる → 4. メモリーが壊され悪用される1攻撃者が細工した HTML ページを用意する2利用者がそのページを開く3WebAudio の不具合が突かれる4メモリーが壊され悪用される

誰が影響を受ける

78.0.3904.87 より前の Google Chrome を使っている人が対象です。

何をすればいい

Google Chrome が 78.0.3904.87 以降に更新されているか確認してください。Chrome の設定にある「Chrome について」の画面で版を確かめ、更新できます。公式の案内を確認して対応してください。

やることチェックリスト

  • Chrome を 78.0.3904.87 以降に更新する
  • Chrome についての画面で版を確かめる
  • 知らない相手からのリンクを開かないようにする

用語メモ

use after free 用語集で見る
一度片付けた（解放した）メモリーを、プログラムが誤って使い続けてしまう不具合です。
HTML 用語集で見る
Web ページの中身や形を書き表すための言葉（形式）です。

次に読む

同じ製品・メーカーの脆弱性Google Pixel（CVE-2026-58704）8.8 重要CVSS v3.1Google Pixelのモデムで、近くの攻撃者に権限の確認をすり抜けられる弱点です。同じ製品・メーカーの脆弱性Google Chromium V8（CVE-2026-87491）8.8 重要CVSS v3.1ChromeなどのV8で、細工したページから、隔離された範囲（サンドボックス）の中で任意のコードを実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Google Chrome WebAudio Use-After-Free Vulnerability

概要

Google Chrome WebAudio contains a use-after-free vulnerability that allows a remote attacker to potentially exploit heap corruption via a crafted HTML page.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る