Google Chromium V8 のバッファオーバーフローの脆弱性（CVE-2021-21148）

何が起きた

Google Chrome の V8（JavaScript というプログラムを動かす部品）に、用意したメモリの範囲を超えてデータを書き込んでしまう弱点（ヒープバッファオーバーフロー）が見つかりました。細工した HTML ページを見せることで、メモリの中身を壊せる可能性があります。攻撃者はネットワーク経由でログインなしに悪用できますが、利用者がそのページを開く必要があります。Google は攻撃コードが実際に出回っているという報告を把握しているとしており、CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

88.0.4324.150 より前の Google Chrome を使っている人や組織が対象です。CISA によると、Microsoft Edge や Opera など Chromium を使う他のブラウザにも影響する可能性があります。

何をすればいい

Google Chrome が 88.0.4324.150 以降に更新されているか確認してください。Microsoft Edge や Opera など Chromium を使う他のブラウザも、それぞれのメーカーの案内に従って更新してください。あわせて Google の公式の案内（Chrome Releases）を確認してください。

やることチェックリスト

• Google Chrome を 88.0.4324.150 以降に更新する
• Edge や Opera もメーカーの案内に従って更新する
• Chrome の版が 88.0.4324.150 以上になったか確かめる

用語メモ

V8

Chrome などで使われている、Web ページの JavaScript を実行するための部品です。

ヒープバッファオーバーフロー

プログラムが使うメモリ領域（ヒープ）で、用意した範囲を超えてデータを書き込んでしまう不具合です。

Chromium

Google が中心となって開発しているオープンソースのブラウザの土台で、Chrome や Microsoft Edge などがこれを元に作られています。