Google Chromium V8 の型の取り違えの脆弱性（CVE-2020-16009）

何が起きた

Google Chrome の JavaScript を動かす部品 V8 で、作りが適切でない部分があり、細工した HTML ページによってヒープのメモリを壊されるおそれがある弱点が見つかりました。CISA は、この弱点を型の取り違え（type confusion）の弱点としています。NVD の評価では、ネットワーク経由で、ログインなしに悪用でき、利用者がページを開くなどの操作が必要とされています。Google は、この弱点を悪用する攻撃コードが実際に出回っているという報告を把握していると発表しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Google Chrome の 86.0.4240.183 より前のバージョンを使っている人が対象です。CISA によると、Chromium を使う Microsoft Edge や Opera など、ほかのブラウザにも影響する可能性があります。

何をすればいい

Google Chrome を 86.0.4240.183 以降に更新してください。Microsoft Edge や Opera など Chromium を使うブラウザは、それぞれのメーカーの案内に従って更新します。攻撃には細工したページを開かせる必要があるため、知らない相手から届いたリンクは不用意に開かないようにします。最新の対応は公式の案内を確認してください。

やることチェックリスト

• Chrome を 86.0.4240.183 以降に更新する
• Edge や Opera もメーカーの案内に従って更新する
• 知らない相手からのリンクを不用意に開かないようにする

用語メモ

V8

Chrome などで、ウェブページの JavaScript を動かすための部品です。

type confusion

プログラムが、あるデータの種類（型）を別の種類だと取り違えて扱ってしまう不具合です。

Chromium

Google が中心となって作っている、無料で公開されたブラウザの土台です。Chrome や Microsoft Edge、Opera などが使っています。