• ひとことでWebKitGTK で、細工した Web の中身を処理するとメモリーが壊れる弱点
  • 深刻度8.8 重要CVSS v3.1
  • まずやることWebKitGTK を2.26.0以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2019-8720
製品WebKitGTK WebKitGTK
深刻度（CVSS）8.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2022-05-23
米国政府機関の対応期限2022-06-13
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-119（メモリバッファの範囲の制限の不備）

何が起きた

Web ページを表示する部品の WebKitGTK に、メモリーの扱いの問題（メモリー破壊）が見つかりました。悪意をもって細工された Web の中身を処理すると、攻撃者が選んだ任意のコードを実行されるおそれがあります。ログイン不要で、ネットワーク経由で離れた場所から悪用できますが、利用者が細工されたページを開くなどの操作が必要です。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した Web の中身を用意する → 2. 利用者がそれを WebKitGTK で開く → 3. 処理の中でメモリーが壊れる → 4. 任意のコードが実行される1攻撃者が細工した Web の中身を用意する2利用者がそれを WebKitGTK で開く3処理の中でメモリーが壊れる4任意のコードが実行される攻撃の流れ: 1. 攻撃者が細工した Web の中身を用意する → 2. 利用者がそれを WebKitGTK で開く → 3. 処理の中でメモリーが壊れる → 4. 任意のコードが実行される1攻撃者が細工した Web の中身を用意する2利用者がそれを WebKitGTK で開く3処理の中でメモリーが壊れる4任意のコードが実行される攻撃の流れ: 1. 攻撃者が細工した Web の中身を用意する → 2. 利用者がそれを WebKitGTK で開く → 3. 処理の中でメモリーが壊れる → 4. 任意のコードが実行される1攻撃者が細工した Web の中身を用意する2利用者がそれを WebKitGTK で開く3処理の中でメモリーが壊れる4任意のコードが実行される

誰が影響を受ける

WebKitGTK の勧告 WSA-2019-0005 によると、WebKitGTK 2.26.0 より前と、WPE WebKit 2.26.0 より前が影響を受けます。これらを使ったアプリや Linux の環境を使っている人や組織が対象です。

何をすればいい

WebKitGTK と WPE WebKit を 2.26.0 以降に更新してください。WebKitGTK のプロジェクトは、最新の安定版に更新することをすすめています。Linux ではふつう、使っているディストリビューションの更新で WebKitGTK も新しくなります。あわせて公式の案内（WebKitGTK のセキュリティ勧告）を確認してください。

やることチェックリスト

  • WebKitGTK を2.26.0以降に更新する
  • WPE WebKit を2.26.0以降に更新する
  • WebKitGTK を最新の安定版に更新する

用語メモ

メモリー破壊 用語集で見る
プログラムが、使ってはいけないメモリーの場所に書き込むなどして、中身を壊してしまう不具合です。乗っ取りに使われることがあります。
WPE WebKit
組み込み機器向けに作られた WebKit の仲間です。WebKitGTK と同じプロジェクトが勧告を出しています。
任意のコード 用語集で見る
攻撃者が自由に選んだプログラムのことです。実行されると、機器を思いどおりに操られるおそれがあります。

次に読む

基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

WebKitGTK Memory Corruption Vulnerability

概要

WebKitGTK contains a memory corruption vulnerability which can allow an attacker to perform remote code execution.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る