Google Chromium Intents の脆弱性（CVE-2021-38000）

何が起きた

Android 版 Google Chrome の Intents（アプリやページの間で動作を受け渡す仕組み）で、信頼できない入力を十分に確かめていない弱点が見つかりました。細工した HTML ページによって、攻撃者が選んだ悪意ある URL へブラウザを移動させられるおそれがあります。Google はこの弱点を悪用する攻撃コードが出回っていることを把握しています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者にページを開かせることで悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Android 版 Google Chrome の 95.0.4638.69 より前の版を使っている人が対象です。CISA によると、Microsoft Edge や Opera など Chromium を使う他のブラウザも影響を受ける可能性があります。

何をすればいい

NVD の説明に従い、Android の Google Chrome を 95.0.4638.69 以降に更新されているか確認してください。Chromium を使う他のブラウザを使っている場合も、それぞれのメーカーの更新を適用してください。あわせて Google の公式の案内を確認してください。

やることチェックリスト

• Android の Chrome を 95.0.4638.69 以降に更新する
• Chromium を使う他のブラウザも更新する
• 怪しいページのリンクを開かないようにする

用語メモ

Intents

Android で、アプリどうしやページとアプリの間で「これを開いて」といった動作を受け渡す仕組みです。

URL

Web ページなどの場所を示す住所のような文字列です。

Chromium

Google が中心になって開発しているオープンソースのブラウザで、Chrome や Edge などの土台になっています。