Google Chromium V8 の型の取り違えの脆弱性（CVE-2021-30563）

何が起きた

Google Chrome の V8（JavaScript を動かす部品）に、型の取り違え（タイプコンフュージョン）という弱点が見つかりました。攻撃者は細工した HTML ページを使って、ヒープ（プログラムが使うメモリーの領域）を壊すことができる可能性があります。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が悪用できますが、利用者がページを開くなどの操作が必要です。Google は悪用コードが出回っているという報告を認識しており、CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Google Chrome の 91.0.4472.164 より前のバージョンを使っている人が対象です。CISA は、Microsoft Edge や Opera など、Chromium を使う他のブラウザーにも影響する可能性があるとしています。

何をすればいい

Google Chrome が 91.0.4472.164 以降に更新されているか確認してください。Google の公式の案内を確認し、ブラウザーを最新にしてください。Chromium を使う他のブラウザーも、それぞれのメーカーの更新を適用してください。知らない相手から届いたリンクやページは開かないようにしてください。

やることチェックリスト

• Google Chromeを91.0.4472.164以降に更新する
• EdgeやOperaも各メーカーの更新を適用する
• 知らない相手からのページを開かないようにする

用語メモ

V8

Google Chrome などで、ウェブページの JavaScript を動かすための部品です。

タイプコンフュージョン

あるデータを、本来とは違う種類のデータだと取り違えて扱ってしまう不具合です。

ヒープ

プログラムが動いている間に、必要に応じて使うメモリーの領域です。