Google Chromium V8 の範囲外書き込みの脆弱性（CVE-2020-16013）

何が起きた

Google Chrome の JavaScript を動かす部品 V8 で、作りが適切でない部分があり、細工した HTML ページによってヒープのメモリを壊されるおそれがある弱点が見つかりました。NVD の評価では、ネットワーク経由で、ログインなしに悪用でき、利用者がページを開くなどの操作が必要とされています。Google は、この弱点を悪用する攻撃コードが実際に出回っているという報告を把握していると発表しています。CISA は KEV に載せています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Google Chrome の 86.0.4240.198 より前のバージョンを使っている人が対象です。CISA によると、Chromium を使う Microsoft Edge や Opera など、ほかのブラウザにも影響する可能性があります。

何をすればいい

Google Chrome を 86.0.4240.198 以降に更新してください。Microsoft Edge や Opera など Chromium を使うブラウザは、それぞれのメーカーの案内に従って更新します。攻撃には細工したページを開かせる必要があるため、知らない相手から届いたリンクは不用意に開かないようにします。最新の対応は公式の案内を確認してください。

やることチェックリスト

• Chrome を 86.0.4240.198 以降に更新する
• Edge や Opera もメーカーの案内に従って更新する
• 知らない相手からのリンクを不用意に開かないようにする

用語メモ

V8

Chrome などで、ウェブページの JavaScript を動かすための部品です。

ヒープ

プログラムが動いている間に、必要に応じて使うメモリの置き場所です。

Chromium

Google が中心となって作っている、無料で公開されたブラウザの土台です。Chrome や Microsoft Edge、Opera などが使っています。