Google Chromium V8 のuse-after-freeの脆弱性（CVE-2021-37975）

何が起きた

Google Chrome の JavaScript エンジン V8 で、使い終わって解放したメモリを再び使ってしまう（解放後使用）弱点が見つかりました。細工した HTML ページによって、ヒープ（プログラムが使うメモリの領域）の破壊を悪用されるおそれがあります。Google はこの弱点を悪用する攻撃コードが出回っていることを把握しています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者にページを開かせることで悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Google Chrome の 94.0.4606.71 より前の版を使っている人が対象です。CISA によると、Microsoft Edge や Opera など Chromium を使う他のブラウザも影響を受ける可能性があります。

何をすればいい

Google Chrome を 94.0.4606.71 以降に更新されているか確認してください。Microsoft Edge や Opera などを使っている場合も、それぞれのメーカーの更新を適用してください。あわせて Google の公式の案内を確認してください。

やることチェックリスト

• Chrome を 94.0.4606.71 以降に更新する
• Edge など Chromium を使うブラウザも更新する
• 怪しいページのリンクを開かないようにする

用語メモ

V8

Google Chrome などで JavaScript のプログラムを動かす仕組み（エンジン）です。

解放後使用

使い終わって返したメモリを、プログラムが誤って再び使ってしまう不具合です。

ヒープ

プログラムが動いている間に、必要に応じて確保して使うメモリの領域です。