Google Chromium V8 の型の取り違えの脆弱性（CVE-2022-3723）

何が起きた

Google Chromium の V8 エンジン（JavaScript を動かす部品）に、データの型を取り違える（型の混同）弱点が見つかり、実際に悪用が確認されています。細工した HTML ページを使って、ヒープ（作業用のメモリ）を壊す攻撃ができる可能性があります。NVD の評価では、攻撃者はネットワーク経由で、ログインなしに攻撃できますが、利用者がページを開くなどの操作が必要です。Google は、この弱点を悪用する攻撃コードが出回っていることを把握していると発表しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Google Chrome の 107.0.5304.87 より前を使っている人が対象です。CISA によると、Microsoft Edge や Opera など、Chromium を使う他のブラウザも影響を受ける可能性があります。

何をすればいい

Google Chrome を 107.0.5304.87 以降に更新してください。Google によると、Mac と Linux は 107.0.5304.87、Windows は 107.0.5304.87 または 107.0.5304.88 が修正版です。Microsoft Edge や Opera などを使っている場合は、それぞれのメーカーの更新を適用してください。あわせて、Google の公式の案内を確認してください。

やることチェックリスト

• Chrome を 107.0.5304.87 以降に更新する
• Microsoft Edge の更新を適用する
• Opera など Chromium 系ブラウザも更新する

用語メモ

V8 エンジン

Chrome などで、ウェブページの JavaScript を動かす部品です。

型の混同

あるデータを、本来とは別の種類のデータとして扱ってしまう誤りです。メモリが壊れる原因になります。

ヒープ

プログラムが動いている間に、必要に応じて使うメモリの領域です。

Chromium

Google が中心になって開発している、オープンソースのブラウザの土台です。Chrome や Edge などが使っています。