Google Chromium PopupBlocker の認可の不備の脆弱性（CVE-2021-30533）

何が起きた

Google Chrome（Chromium）の PopupBlocker（ポップアップを止める仕組み）で、決まりの守らせ方が不十分な弱点が見つかりました。細工した iframe（ページの中に別のページを埋め込む仕組み）を使うと、ページ移動の制限をすり抜けられる可能性があります。NVD の評価では、ネットワーク経由で、権限のない攻撃者が悪用できますが、利用者の操作（細工したページを開くなど）が必要です。実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Google Chrome を使っている人が対象です。NVD の説明と CVE の記録では、91.0.4472.77 より前の Google Chrome が影響を受けます。CISA の概要では、Chromium をもとにした Microsoft Edge や Opera などのブラウザーにも影響する可能性があるとされていますが、それらの影響を受けるバージョンは、このデータからは不明です。

何をすればいい

Google Chrome が 91.0.4472.77 以降に更新されているか確認してください。Microsoft Edge や Opera など Chromium をもとにしたブラウザーを使っている場合は、それぞれのメーカーの公式の案内を確認し、最新版に更新してください。

やることチェックリスト

• Chrome を 91.0.4472.77 以降に更新する
• Edge や Opera も最新版に更新する
• 設定画面で Chrome のバージョンを確かめる

用語メモ

iframe

ウェブページの中に、別のウェブページを埋め込んで表示する仕組みです。

Chromium

Google が中心となって開発している、オープンソースのブラウザーの土台です。Chrome や Edge などがこれをもとに作られています。