Google Chromium V8 の型の取り違えの脆弱性（CVE-2021-21224）

何が起きた

Google Chrome の JavaScript エンジン V8 に、データの種類を取り違える型の取り違え（タイプコンフュージョン）の弱点が見つかりました。細工した HTML のページを開くと、サンドボックスの中で任意のコードを実行されるおそれがあります。NVD の評価では、ネットワーク経由で、権限のない攻撃者が悪用できますが、利用者がページを開く操作が必要です。Google は悪用コードが出回っているという報告を把握しており、CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Google Chrome の 90.0.4430.85 より前のバージョンを使っている人が対象です。CISA によると、Microsoft Edge や Opera など、Chromium をもとにしたほかのブラウザーも影響を受ける可能性があります。

何をすればいい

Chrome を 90.0.4430.85 以降に更新されているか確認してください。Microsoft Edge や Opera などを使っている場合は、それぞれのメーカーの公式の案内を確認して更新してください。知らない相手から送られたリンクを不用意に開かないようにしてください。

やることチェックリスト

• Chrome を 90.0.4430.85 以降に更新する
• Edge や Opera も最新版に更新する
• 知らない相手からのリンクを開かないようにする

用語メモ

V8 用語集で見る

Chrome などで JavaScript のプログラムを動かす仕組み（エンジン）です。

サンドボックス 用語集で見る

プログラムを閉じた箱の中で動かし、外のパソコン全体に手を出せないようにする仕組みです。

Chromium 用語集で見る

Google が中心になって作っている、Chrome や Edge のもとになっているブラウザーの部品です。