• ひとことでGoogle Chrome などが使う動画部品 libvpx に、メモリを壊せる弱点
  • 深刻度8.8 重要CVSS v3.1
  • まずやることChrome を 117.0.5938.132 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2023-5217
製品Google Chromium libvpx
深刻度（CVSS）8.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2023-10-02
米国政府機関の対応期限2023-10-23
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-787（範囲外への書き込み）

何が起きた

動画の形式 VP8 を扱う部品 libvpx の、動画を作る（エンコードする）処理に、ヒープバッファオーバーフローという弱点が見つかりました。細工した HTML ページを開かせることで、メモリの中身を壊す攻撃につながる可能性があります。攻撃者はネットワーク経由でログインなしに狙えますが、利用者がそのページを開く必要があります。Google はこの弱点を悪用する攻撃コードが実際に出回っていることを認めており、CISA も悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した HTML ページを用意する → 2. 利用者がブラウザーでそのページを開く → 3. libvpx の VP8 の処理でメモリがあふれる → 4. メモリの中身が壊され攻撃に使われる1攻撃者が細工した HTML ページを用意する2利用者がブラウザーでそのページを開く3libvpx の VP8 の処理でメモリがあふれる4メモリの中身が壊され攻撃に使われる攻撃の流れ: 1. 攻撃者が細工した HTML ページを用意する → 2. 利用者がブラウザーでそのページを開く → 3. libvpx の VP8 の処理でメモリがあふれる → 4. メモリの中身が壊され攻撃に使われる1攻撃者が細工した HTML ページを用意する2利用者がブラウザーでそのページを開く3libvpx の VP8 の処理でメモリがあふれる4メモリの中身が壊され攻撃に使われる攻撃の流れ: 1. 攻撃者が細工した HTML ページを用意する → 2. 利用者がブラウザーでそのページを開く → 3. libvpx の VP8 の処理でメモリがあふれる → 4. メモリの中身が壊され攻撃に使われる1攻撃者が細工した HTML ページを用意する2利用者がブラウザーでそのページを開く3libvpx の VP8 の処理でメモリがあふれる4メモリの中身が壊され攻撃に使われる

誰が影響を受ける

117.0.5938.132 より前の Google Chrome を使っている人が対象です。libvpx については、NVD の説明に 1.13.1 という版が書かれており、CVE の記録では 1.13.1 より前が影響を受けると書かれています。libvpx を使う他のブラウザーも影響を受けることがあり、Mozilla は Firefox や Thunderbird もこの弱点の修正を出しています。

何をすればいい

Google Chrome を 117.0.5938.132 以降に更新されているか確認してください。Firefox は 118.0.1、Firefox ESR は 115.3.1、Thunderbird は 115.3.1 で修正されています。libvpx を使う他の製品は、それぞれのメーカーの公式の案内を確認し、更新してください。

やることチェックリスト

  • Chrome を 117.0.5938.132 以降に更新する
  • Firefox を 118.0.1 以降に更新する
  • Thunderbird を 115.3.1 以降に更新する

用語メモ

ヒープバッファオーバーフロー 用語集で見る
プログラムが使うメモリ領域（ヒープ）で、決められた大きさを超えてデータを書き込んでしまう不具合です。ほかのデータを壊し、攻撃に使われることがあります。
libvpx
VP8 や VP9 という形式の動画を扱うための部品（ライブラリ）です。多くのブラウザーなどに組み込まれています。
VP8
インターネットの動画でよく使われる、動画を圧縮する形式の一つです。

次に読む

同じ製品・メーカーの脆弱性Google Pixel（CVE-2026-58704）8.8 重要CVSS v3.1Google Pixelのモデムで、近くの攻撃者に権限の確認をすり抜けられる弱点です。同じ製品・メーカーの脆弱性Google Chromium V8（CVE-2026-87491）8.8 重要CVSS v3.1ChromeなどのV8で、細工したページから、隔離された範囲（サンドボックス）の中で任意のコードを実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Google Chromium libvpx Heap Buffer Overflow Vulnerability

概要

Google Chromium libvpx contains a heap buffer overflow vulnerability in vp8 encoding that allows a remote attacker to potentially exploit heap corruption via a crafted HTML page. This vulnerability could impact web browsers using libvpx, including but not limited to Google Chrome.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る