• ひとことでAndroid 版 Chrome の Intents で、悪意あるページへ移動させられる弱点です
  • 深刻度6.1 警告CVSS v3.1
  • まずやることAndroid の Chrome を 95.0.4638.69 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2021-38000
製品Google Chromium Intents
深刻度（CVSS）6.1 警告CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
KEVへの追加日2021-11-03
米国政府機関の対応期限2021-11-17
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-20（入力の確認の不備）

何が起きた

Android 版 Google Chrome の Intents（アプリやページの間で動作を受け渡す仕組み）で、信頼できない入力を十分に確かめていない弱点が見つかりました。細工した HTML ページによって、攻撃者が選んだ悪意ある URL へブラウザを移動させられるおそれがあります。Google はこの弱点を悪用する攻撃コードが出回っていることを把握しています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者にページを開かせることで悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した HTML ページを用意する → 2. 利用者が Android の Chrome で開く → 3. 悪意ある URL へ移動させられる1攻撃者が細工した HTML ページを用意する2利用者が Android の Chrome で開く3悪意ある URL へ移動させられる攻撃の流れ: 1. 攻撃者が細工した HTML ページを用意する → 2. 利用者が Android の Chrome で開く → 3. 悪意ある URL へ移動させられる1攻撃者が細工した HTML ページを用意する2利用者が Android の Chrome で開く3悪意ある URL へ移動させられる攻撃の流れ: 1. 攻撃者が細工した HTML ページを用意する → 2. 利用者が Android の Chrome で開く → 3. 悪意ある URL へ移動させられる1攻撃者が細工した HTML ページを用意する2利用者が Android の Chrome で開く3悪意ある URL へ移動させられる

誰が影響を受ける

NVD の説明では、Android 版 Google Chrome の 95.0.4638.69 より前の版を使っている人が対象です。CISA によると、Microsoft Edge や Opera など Chromium を使う他のブラウザも影響を受ける可能性があります。

何をすればいい

NVD の説明に従い、Android の Google Chrome を 95.0.4638.69 以降に更新されているか確認してください。Chromium を使う他のブラウザを使っている場合も、それぞれのメーカーの更新を適用してください。あわせて Google の公式の案内を確認してください。

やることチェックリスト

  • Android の Chrome を 95.0.4638.69 以降に更新する
  • Chromium を使う他のブラウザも更新する
  • 怪しいページのリンクを開かないようにする

用語メモ

Intents
Android で、アプリどうしやページとアプリの間で「これを開いて」といった動作を受け渡す仕組みです。
URL 用語集で見る
Web ページなどの場所を示す住所のような文字列です。
Chromium 用語集で見る
Google が中心になって開発しているオープンソースのブラウザで、Chrome や Edge などの土台になっています。

次に読む

同じ製品・メーカーの脆弱性Google Chromium Intents（CVE-2022-2856）6.5 警告CVSS v3.1Android 版 Google Chrome で、悪意のあるサイトへ移動させられる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Google Chromium Intents Improper Input Validation Vulnerability

概要

Google Chromium Intents contains an improper input validation vulnerability that allows a remote attacker to arbitrarily browser to a malicious URL via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る