Google Chromium WebGL のuse-after-freeの脆弱性（CVE-2021-30554）

何が起きた

Google Chrome の WebGL（ブラウザーで 3D の絵を描く機能）に、解放後使用という弱点が見つかりました。攻撃者は細工した HTML ページを使って、ヒープ（プログラムが使うメモリーの領域）を壊すことができる可能性があります。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が悪用できますが、利用者がページを開くなどの操作が必要です。Google は悪用コードが出回っていることを認識しており、CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Google Chrome の 91.0.4472.114 より前のバージョンを使っている人が対象です。CISA は、Microsoft Edge や Opera など、Chromium を使う他のブラウザーにも影響する可能性があるとしています。

何をすればいい

Google Chrome が 91.0.4472.114 以降に更新されているか確認してください。Google の公式の案内を確認し、ブラウザーを最新にしてください。Chromium を使う他のブラウザーも、それぞれのメーカーの更新を適用してください。知らない相手から届いたリンクやページは開かないようにしてください。

やることチェックリスト

• Google Chromeを91.0.4472.114以降に更新する
• EdgeやOperaも各メーカーの更新を適用する
• 知らない相手からのページを開かないようにする

用語メモ

WebGL

ブラウザーの中で 3D の絵やグラフィックを描くための仕組みです。

解放後使用

使い終わって片付けたメモリーを、プログラムが誤ってもう一度使ってしまう不具合です。

ヒープ

プログラムが動いている間に、必要に応じて使うメモリーの領域です。