Google Chromium Blink のuse-after-freeの脆弱性（CVE-2021-21206）

何が起きた

Google Chrome の Blink（Web ページを画面に表示する部品）に、使い終わって解放したメモリをもう一度使ってしまう弱点（解放後使用）が見つかりました。細工した HTML ページを見せることで、メモリの中身を壊せる可能性があります。攻撃者はネットワーク経由でログインなしに悪用できますが、利用者がそのページを開く必要があります。Google は、この弱点を突く攻撃コードが実際に出回っているという報告を把握しているとしており、CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

89.0.4389.128 より前の Google Chrome を使っている人や組織が対象です。CISA によると、Microsoft Edge や Opera など Chromium を使う他のブラウザにも影響する可能性があります。

何をすればいい

Google Chrome が 89.0.4389.128 以降に更新されているか確認してください。Microsoft Edge や Opera など Chromium を使う他のブラウザも、それぞれのメーカーの案内に従って更新してください。あわせて Google の公式の案内（Chrome Releases）を確認してください。

やることチェックリスト

• Google Chrome を 89.0.4389.128 以降に更新する
• Edge や Opera もメーカーの案内に従って更新する
• Chrome の版が 89.0.4389.128 以上になったか確かめる

用語メモ

Blink

Chrome などで使われている、Web ページの内容を読み取って画面に表示するための部品です。

解放後使用 用語集で見る

使い終わって手放したメモリを、プログラムが誤ってまた使ってしまう不具合です。攻撃者に悪用されると、プログラムの動きを乗っ取られるおそれがあります。

Chromium 用語集で見る

Google が中心となって開発しているオープンソースのブラウザの土台で、Chrome や Microsoft Edge などがこれを元に作られています。