Google Chromium Intents の脆弱性（CVE-2022-2856）

何が起きた

Android 版の Google Chrome の Intents という機能に、外から受け取るデータの確認が不十分な弱点が見つかりました。細工された HTML ページによって、攻撃者が選んだ悪意のある Web サイトへ移動させられるおそれがあります。NVD の評価では、離れた場所から、ログインは不要で、利用者の操作（ページを開くなど）が必要な形で悪用されるとされています。Google はこの弱点を悪用するコードが実際に出回っていることを把握していて、CISA の KEV にも載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CVE の記録と NVD では、Android 版の Google Chrome 104.0.5112.101 より前のバージョンが対象とされています。Google の修正の告知は、デスクトップ版（Mac と Linux は 104.0.5112.101、Windows は 104.0.5112.102/101）の Stable チャネルの更新として出ています。CISA は、Chromium を元にした Microsoft Edge や Opera などのブラウザも影響を受ける可能性があるとしています。

何をすればいい

Google Chrome を 104.0.5112.101 以降に更新されているか確認してください。Chromium を元にしたほかのブラウザを使っている場合は、それぞれのメーカーの更新も確認してください。あわせて、Google の公式の案内を確認してください。

やることチェックリスト

• Chrome を 104.0.5112.101 以降に更新する
• Edge など Chromium 系ブラウザも更新する
• 知らない相手からのリンクを開かないようにする

用語メモ

Chromium

Google が中心となって開発している、オープンソースのブラウザの土台です。Chrome や Edge などが使っています。

Intents

Android で、アプリどうしが処理を受け渡したり、別のアプリを呼び出したりするための仕組みです。