• ひとことでGoogle Chrome の JavaScript エンジン V8 で、メモリがあふれる弱点です。
  • 深刻度8.8 重要CVSS v3.1
  • まずやることGoogle Chrome を 88.0.4324.150 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2021-21148
製品Google Chromium V8
深刻度（CVSS）8.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2021-11-17
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-122（ヒープ領域のバッファオーバーフロー）

何が起きた

Google Chrome の V8（JavaScript というプログラムを動かす部品）に、用意したメモリの範囲を超えてデータを書き込んでしまう弱点（ヒープバッファオーバーフロー）が見つかりました。細工した HTML ページを見せることで、メモリの中身を壊せる可能性があります。攻撃者はネットワーク経由でログインなしに悪用できますが、利用者がそのページを開く必要があります。Google は攻撃コードが実際に出回っているという報告を把握しているとしており、CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した HTML ページを用意する → 2. 利用者がそのページを Chrome で開く → 3. V8 のメモリがあふれる弱点が突かれる → 4. メモリの中身が壊され悪用される1攻撃者が細工した HTML ページを用意する2利用者がそのページを Chrome で開く3V8 のメモリがあふれる弱点が突かれる4メモリの中身が壊され悪用される攻撃の流れ: 1. 攻撃者が細工した HTML ページを用意する → 2. 利用者がそのページを Chrome で開く → 3. V8 のメモリがあふれる弱点が突かれる → 4. メモリの中身が壊され悪用される1攻撃者が細工した HTML ページを用意する2利用者がそのページを Chrome で開く3V8 のメモリがあふれる弱点が突かれる4メモリの中身が壊され悪用される攻撃の流れ: 1. 攻撃者が細工した HTML ページを用意する → 2. 利用者がそのページを Chrome で開く → 3. V8 のメモリがあふれる弱点が突かれる → 4. メモリの中身が壊され悪用される1攻撃者が細工した HTML ページを用意する2利用者がそのページを Chrome で開く3V8 のメモリがあふれる弱点が突かれる4メモリの中身が壊され悪用される

誰が影響を受ける

88.0.4324.150 より前の Google Chrome を使っている人や組織が対象です。CISA によると、Microsoft Edge や Opera など Chromium を使う他のブラウザにも影響する可能性があります。

何をすればいい

Google Chrome が 88.0.4324.150 以降に更新されているか確認してください。Microsoft Edge や Opera など Chromium を使う他のブラウザも、それぞれのメーカーの案内に従って更新してください。あわせて Google の公式の案内（Chrome Releases）を確認してください。

やることチェックリスト

  • Google Chrome を 88.0.4324.150 以降に更新する
  • Edge や Opera もメーカーの案内に従って更新する
  • Chrome の版が 88.0.4324.150 以上になったか確かめる

用語メモ

V8 用語集で見る
Chrome などで使われている、Web ページの JavaScript を実行するための部品です。
ヒープバッファオーバーフロー 用語集で見る
プログラムが使うメモリ領域（ヒープ）で、用意した範囲を超えてデータを書き込んでしまう不具合です。
Chromium 用語集で見る
Google が中心となって開発しているオープンソースのブラウザの土台で、Chrome や Microsoft Edge などがこれを元に作られています。

次に読む

同じ製品・メーカーの脆弱性Google Chromium V8（CVE-2026-87491）8.8 重要CVSS v3.1ChromeなどのV8で、細工したページから、隔離された範囲（サンドボックス）の中で任意のコードを実行される弱点です。同じ製品・メーカーの脆弱性Google Chromium V8（CVE-2026-85046）8.8 重要CVSS v3.1ChromeなどのV8で、細工したページから、サンドボックスの中で任意のコードを実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Google Chromium V8 Heap Buffer Overflow Vulnerability

概要

Google Chromium V8 Engine contains a heap buffer overflow vulnerability that allows a remote attacker to potentially exploit heap corruption via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る