最近の脆弱性 › CVE-2022-3075
Google Chromium Mojo の脆弱性（CVE-2022-3075）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2022-3075 |
|---|---|
| 製品 | Google Chromium Mojo |
| 深刻度（CVSS） | 9.6 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H |
| KEVへの追加日 | 2022-09-08 |
| 米国政府機関の対応期限 | 2022-09-29 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-20 |
何が起きた
Google Chrome などの元になっている Chromium の Mojo という部品で、受け取ったデータの確認が足りない弱点が見つかり、実際に悪用が確認されています。画面を表示する部分（レンダラー）をすでに乗っ取った攻撃者が、細工した HTML ページを使って、サンドボックスの外に抜け出せる可能性があります。NVD の評価では、ネットワーク経由で、ログイン不要ですが、利用者がページを開くなどの操作が必要です。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Google Chrome の 105.0.5195.102 より前を使っている人が対象です。CISA によると、Microsoft Edge や Opera など、Chromium を使う他のブラウザーにも影響する可能性があります。
何をすればいい
Google Chrome を 105.0.5195.102 以降に更新してください。Chromium を使う他のブラウザーも、それぞれのメーカーの更新を適用してください。くわしくは Google の公式の案内を確認してください。
やることチェックリスト
- Chromeを105.0.5195.102以降に更新する
- Edgeなど他のChromium系ブラウザーを更新する
- Chromeの設定画面でバージョン番号を確かめる
用語メモ
- サンドボックス
- プログラムを囲いの中で動かし、外の大事な部分にさわれないようにする仕組みです。
- レンダラー
- ブラウザーの中で、Web ページを読み込んで画面に表示する部分です。
- Chromium
- Google Chrome などの元になっている、公開されたブラウザーのソフトウェアです。
元データ（英語・CISA KEV より）
Google Chromium Mojo Insufficient Data Validation Vulnerability
概要
Google Chromium Mojo contains an insufficient data validation vulnerability that allows a remote attacker, who has compromised the renderer process, to potentially perform a sandbox escape via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.
推奨対応
Apply updates per vendor instructions.