Google Chromium のバッファオーバーフローの脆弱性（CVE-2021-21166）

何が起きた

Google Chrome の音声（audio）を扱う部分に、メモリの中身を壊されるおそれがある弱点が見つかりました。NVD の説明では、複数の処理が同時に同じデータを扱うことで起きる問題（データ競合）とされ、Google の発表では、データを使う期間の管理の問題（Object lifecycle issue）とされています。攻撃者はネットワーク経由でログインなしに、細工した HTML ページを使って悪用できますが、利用者がそのページを開く必要があります。Google は攻撃コードが実際に出回っているという報告を把握しているとしており、CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

89.0.4389.72 より前の Google Chrome を使っている人や組織が対象です。CISA によると、Microsoft Edge や Opera など Chromium を使う他のブラウザにも影響する可能性があります。

何をすればいい

Google Chrome が 89.0.4389.72 以降に更新されているか確認してください。Microsoft Edge や Opera など Chromium を使う他のブラウザも、それぞれのメーカーの案内に従って更新してください。あわせて Google の公式の案内（Chrome Releases）を確認してください。

やることチェックリスト

• Google Chrome を 89.0.4389.72 以降に更新する
• Edge や Opera もメーカーの案内に従って更新する
• Chrome の版が 89.0.4389.72 以上になったか確かめる

用語メモ

データ競合

複数の処理が同時に同じデータを読み書きし、順番しだいで結果がおかしくなる不具合です。

Chromium

Google が中心となって開発しているオープンソースのブラウザの土台で、Chrome や Microsoft Edge などがこれを元に作られています。