最近の脆弱性 › CVE-2019-8720
WebKitGTK WebKitGTK のバッファオーバーフローの脆弱性（CVE-2019-8720）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2019-8720 |
|---|---|
| 製品 | WebKitGTK WebKitGTK |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-05-23 |
| 米国政府機関の対応期限 | 2022-06-13 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-119 |
何が起きた
Web ページを表示する部品の WebKitGTK に、メモリーの扱いの問題（メモリー破壊）が見つかりました。悪意をもって細工された Web の中身を処理すると、攻撃者が選んだ任意のコードを実行されるおそれがあります。ログイン不要で、ネットワーク経由で離れた場所から悪用できますが、利用者が細工されたページを開くなどの操作が必要です。実際に悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
WebKitGTK の勧告 WSA-2019-0005 によると、WebKitGTK 2.26.0 より前と、WPE WebKit 2.26.0 より前が影響を受けます。これらを使ったアプリや Linux の環境を使っている人や組織が対象です。
何をすればいい
WebKitGTK と WPE WebKit を 2.26.0 以降に更新してください。WebKitGTK のプロジェクトは、最新の安定版に更新することをすすめています。Linux ではふつう、使っているディストリビューションの更新で WebKitGTK も新しくなります。あわせて公式の案内（WebKitGTK のセキュリティ勧告）を確認してください。
やることチェックリスト
- WebKitGTK を2.26.0以降に更新する
- WPE WebKit を2.26.0以降に更新する
- WebKitGTK を最新の安定版に更新する
用語メモ
- メモリー破壊
- プログラムが、使ってはいけないメモリーの場所に書き込むなどして、中身を壊してしまう不具合です。乗っ取りに使われることがあります。
- WPE WebKit
- 組み込み機器向けに作られた WebKit の仲間です。WebKitGTK と同じプロジェクトが勧告を出しています。
- 任意のコード
- 攻撃者が自由に選んだプログラムのことです。実行されると、機器を思いどおりに操られるおそれがあります。
元データ（英語・CISA KEV より）
WebKitGTK Memory Corruption Vulnerability
概要
WebKitGTK contains a memory corruption vulnerability which can allow an attacker to perform remote code execution.
推奨対応
Apply updates per vendor instructions.