Google Chromium Indexed DB API のuse-after-freeの脆弱性（CVE-2021-30633）

何が起きた

Google Chrome の Indexed DB API（ブラウザーの中にデータを保存する機能）に、解放後使用という弱点が見つかりました。すでにレンダラープロセスを乗っ取った攻撃者が、細工した HTML ページを使って、サンドボックス（安全のための囲い）の外に抜け出せる可能性があります。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が悪用できますが、利用者がページを開くなどの操作が必要です。Google は悪用コードが出回っていることを認識しており、CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Google Chrome の 93.0.4577.82 より前のバージョンを使っている人が対象です。CISA は、Microsoft Edge や Opera など、Chromium を使う他のブラウザーにも影響する可能性があるとしています。

何をすればいい

Google Chrome が 93.0.4577.82 以降に更新されているか確認してください。Google の公式の案内を確認し、ブラウザーを最新にしてください。Chromium を使う他のブラウザーも、それぞれのメーカーの更新を適用してください。知らない相手から届いたリンクやページは開かないようにしてください。

やることチェックリスト

• Google Chromeを93.0.4577.82以降に更新する
• EdgeやOperaも各メーカーの更新を適用する
• 知らない相手からのページを開かないようにする

用語メモ

解放後使用

使い終わって片付けたメモリーを、プログラムが誤ってもう一度使ってしまう不具合です。

レンダラープロセス

ブラウザーの中で、ウェブページの中身を読み込んで画面に描く役目の部分です。

サンドボックス

プログラムを囲いの中で動かし、パソコンの他の部分に手を出せないようにする安全の仕組みです。