最近の脆弱性 › CVE-2024-0519

Google Chromium V8 の範囲外書き込みの脆弱性（CVE-2024-0519）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2024-0519
製品	Google Chromium V8
深刻度（CVSS）	8.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2024-01-17
米国政府機関の対応期限	2024-02-07
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-787

何が起きた

Google Chrome の JavaScript を動かす部品 V8 に、決められた範囲の外のメモリにアクセスしてしまう弱点が見つかりました。細工した HTML ページを開かせることで、ヒープ（プログラムが使う作業用メモリ）を壊す攻撃につながる可能性があります。NVD の評価では、ログイン不要の攻撃者がネットワーク経由で悪用できますが、利用者がページを開くなどの操作が必要です。Google は、この弱点を突く攻撃コードが実際に出回っているという報告を把握していると発表しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Google Chrome の 120.0.6099.224 より前のバージョンを使っている人が対象です。CISA によると、Chromium を使う Microsoft Edge や Opera など、ほかのブラウザーにも影響する可能性があります。

何をすればいい

Google Chrome を最新版に更新してください。修正版は、Windows では 120.0.6099.224 または 225、Linux では 120.0.6099.224、Mac では 120.0.6099.234 です。Chromium を使うほかのブラウザーは、それぞれのメーカーの公式の案内を確認して更新してください。

やることチェックリスト

Chrome を 120.0.6099.224 以降に更新する
Mac の Chrome は 120.0.6099.234 以降に更新する
Edge など Chromium 系ブラウザーも更新する

用語メモ

V8: Google Chrome などで JavaScript というプログラムを動かすための部品です。
ヒープ: プログラムが動いている間に、必要に応じて確保して使う作業用のメモリの領域です。
Chromium: Google が中心になって開発しているオープンソースのブラウザーで、Chrome や Edge などの土台になっています。

元データ（英語・CISA KEV より）

Google Chromium V8 Out-of-Bounds Memory Access Vulnerability

概要

Google Chromium V8 Engine contains an out-of-bounds memory access vulnerability that allows a remote attacker to potentially exploit heap corruption via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.