- ひとことでChrome などの V8 で、細工したページを見るとメモリを壊される弱点です。
- 深刻度8.8 重要CVSS v3.1
- まずやることChrome を 89.0.4389.128 以降に更新する
基本情報（データから表示）
| CVE番号 | CVE-2021-21220 |
|---|---|
| 製品 | Google Chromium V8 |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2021-11-03 |
| 米国政府機関の対応期限 | 2021-11-17 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-20（入力の確認の不備） CWE-122（ヒープ領域のバッファオーバーフロー） |
何が起きた
Google Chrome の JavaScript エンジン V8 に、信用できない入力の確かめ方が不十分な弱点が見つかりました。細工した HTML のページを開くと、ヒープと呼ばれるメモリの領域を壊される（ヒープ破損）おそれがあります。NVD の評価では、ネットワーク経由で、権限のない攻撃者が悪用できますが、利用者がページを開く操作が必要です。Google は悪用コードが出回っているという報告を把握しており、CISA も実際の悪用を確認しています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Google Chrome の 89.0.4389.128 より前のバージョンを使っている人が対象です。CISA によると、Microsoft Edge や Opera など、Chromium をもとにしたほかのブラウザーも影響を受ける可能性があります。
何をすればいい
Chrome を 89.0.4389.128 以降に更新されているか確認してください。Microsoft Edge や Opera などを使っている場合は、それぞれのメーカーの公式の案内を確認して更新してください。知らない相手から送られたリンクを不用意に開かないようにしてください。
やることチェックリスト
- Chrome を 89.0.4389.128 以降に更新する
- Edge や Opera も最新版に更新する
- 知らない相手からのリンクを開かないようにする
用語メモ
次に読む
公式情報と元データ
公式情報
- 公式の対策の出典（chromereleases.googleblog.com）
- 公式の対策の出典（cveawg.mitre.org）
- 公式の対策の出典（services.nvd.nist.gov）
- NVD（米国の脆弱性データベース）
- CISA KEV カタログ
元データ（英語・CISA KEV より）を開く
Google Chromium V8 Improper Input Validation Vulnerability
概要
Google Chromium V8 Engine contains an improper input validation vulnerability that allows a remote attacker to potentially exploit heap corruption via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る