CVE-2022-3075とは？Google Chromium Mojoの脆弱性をわかりやすく解説

ひとことでChrome などのブラウザーの部品 Mojo に、安全な囲いから抜け出される弱点があります。
深刻度9.6 緊急CVSS v3.1
まずやることChromeを105.0.5195.102以降に更新する

基本情報（データから表示）

CVE番号	CVE-2022-3075
製品	Google Chromium Mojo
深刻度（CVSS）	9.6 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H`
KEVへの追加日	2022-09-08
米国政府機関の対応期限	2022-09-29
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-20（入力の確認の不備）

何が起きた

Google Chrome などの元になっている Chromium の Mojo という部品で、受け取ったデータの確認が足りない弱点が見つかり、実際に悪用が確認されています。画面を表示する部分（レンダラー）をすでに乗っ取った攻撃者が、細工した HTML ページを使って、サンドボックスの外に抜け出せる可能性があります。NVD の評価では、ネットワーク経由で、ログイン不要ですが、利用者がページを開くなどの操作が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Google Chrome の 105.0.5195.102 より前を使っている人が対象です。CISA によると、Microsoft Edge や Opera など、Chromium を使う他のブラウザーにも影響する可能性があります。

何をすればいい

Google Chrome を 105.0.5195.102 以降に更新してください。Chromium を使う他のブラウザーも、それぞれのメーカーの更新を適用してください。くわしくは Google の公式の案内を確認してください。

やることチェックリスト

Chromeを105.0.5195.102以降に更新する
Edgeなど他のChromium系ブラウザーを更新する
Chromeの設定画面でバージョン番号を確かめる

用語メモ

サンドボックス用語集で見る: プログラムを囲いの中で動かし、外の大事な部分にさわれないようにする仕組みです。
レンダラー用語集で見る: ブラウザーの中で、Web ページを読み込んで画面に表示する部分です。
Chromium 用語集で見る: Google Chrome などの元になっている、公開されたブラウザーのソフトウェアです。

次に読む

同じ製品・メーカーの脆弱性Google Chromium Mojo（CVE-2025-2783）8.3 重要CVSS v3.1Windows 版 Chrome で、安全のための囲い（サンドボックス）から抜け出される弱点です基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Google Chromium Mojo Insufficient Data Validation Vulnerability

概要

Google Chromium Mojo contains an insufficient data validation vulnerability that allows a remote attacker, who has compromised the renderer process, to potentially perform a sandbox escape via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Google Chromium Mojo の脆弱性（CVE-2022-3075）