Google Chromium Network Service のuse-after-freeの脆弱性（CVE-2022-3038）

何が起きた

Google Chromium の通信を受け持つ部分（Network Service）で、解放済みのメモリーを使ってしまう（use-after-free）弱点が見つかりました。細工された HTML のページを開くと、メモリーの中身を壊される（ヒープ破損）おそれがあります。ログインしていない攻撃者がネットワーク経由で悪用できますが、利用者がそのページを開くなどの操作が必要です。CISA の一覧に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Google Chrome を使っている人が対象です。NVD の説明では、105.0.5195.52 より前の Google Chrome が影響を受けるとされています。CISA によると、Chromium を使う Microsoft Edge や Opera などほかのブラウザーにも影響するおそれがあります。

何をすればいい

Google Chrome を 105.0.5195.52 以降に更新されているか確認してください。Microsoft Edge や Opera など Chromium を使うブラウザーも、それぞれのメーカーの更新を適用してください。詳しくは、各メーカーの公式の案内を確認してください。

やることチェックリスト

• Chrome を 105.0.5195.52 以降に更新する
• Edge や Opera も最新の版に更新する
• 更新後にブラウザーを再起動する

用語メモ

Chromium 用語集で見る

Google が中心となって作っている、Chrome などのもとになっている公開のブラウザーのソフトです。

use-after-free 用語集で見る

もう使い終わって解放したメモリーを、プログラムが誤ってまた使ってしまう不具合です。

ヒープ破損

プログラムが使うメモリーの領域（ヒープ）の中身が壊れることで、攻撃に悪用されることがあります。