WebRTC WebRTC のバッファオーバーフローの脆弱性（CVE-2022-2294）

何が起きた

ブラウザーでビデオ通話などを実現する WebRTC に、メモリーの領域からデータがあふれる弱点（ヒープバッファオーバーフロー）が見つかりました。細工した HTML ページを見せることで、メモリーを壊し、攻撃者のプログラムを動かされるおそれがあります。NVD の評価では、ネットワーク経由で、ログインなしで悪用できますが、利用者がページを開くなどの操作が必要です。Google はこの弱点を悪用する攻撃コードが出回っていることを把握しており、ランサムウェアの攻撃での悪用も分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、103.0.5060.114 より前の Google Chrome が対象です。CISA は、Google Chrome に限らず、WebRTC を使うブラウザーが影響を受けるとしています。

何をすればいい

Google Chrome が 103.0.5060.114 以降に更新されているか確認してください。Chrome 以外の WebRTC を使うブラウザーも、それぞれのメーカーの公式の案内を確認して更新してください。知らない相手から送られたリンクのページを開かないようにしてください。

やることチェックリスト

• Chrome を 103.0.5060.114 以降に更新する
• ほかのブラウザーも最新の版に更新する
• 知らない相手からのリンクを開かない

用語メモ

WebRTC

ブラウザーどうしで音声や映像をリアルタイムにやり取りするための仕組みです。

ヒープバッファオーバーフロー

プログラムが使うメモリーの領域から、決められた大きさを超えてデータがあふれてしまう不具合です。

ランサムウェア

データを使えなくして、元に戻すことと引きかえにお金を要求する悪いプログラムです。