Google Chromium Animation のuse-after-freeの脆弱性（CVE-2022-0609）

何が起きた

Google Chrome のアニメーションを扱う部分（Animation）で、使い終わって解放したメモリをもう一度使ってしまう弱点（解放後使用）が見つかりました。細工された Web ページを開くと、離れた場所の攻撃者にメモリ（ヒープ）を壊される可能性があります。NVD の評価では、ログインは不要ですが、利用者がページを開くなどの操作が必要です。Google は、この弱点を悪用する攻撃コードが出回っているという報告を把握していると発表しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

98.0.4758.102 より前の Google Chrome を使っている人が対象です。CISA によると、Chromium を元にした Microsoft Edge や Opera など、ほかのブラウザにも影響する可能性があります。

何をすればいい

Google Chrome が 98.0.4758.102 以降に更新されているか確認してください。Chromium を元にしたほかのブラウザを使っている場合も、それぞれのメーカーの公式の案内を確認し、更新してください。

やることチェックリスト

• Chrome を 98.0.4758.102 以降に更新する
• Microsoft Edge も更新されているか調べる
• Opera など Chromium 系の他のブラウザも更新する

用語メモ

解放後使用

使い終わって手放したメモリの場所を、あとでまた使ってしまう不具合です。攻撃に悪用されることがあります。

ヒープ

プログラムが動いている途中で、必要に応じて確保して使うメモリの領域です。

Chromium

Google Chrome の元になっているオープンソースのブラウザで、Microsoft Edge など多くのブラウザが土台にしています。