最近の脆弱性 › CVE-2024-4671
Google Chromium のuse-after-freeの脆弱性（CVE-2024-4671）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2024-4671 |
|---|---|
| 製品 | Google Chromium |
| 深刻度（CVSS） | 9.6 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H |
| KEVへの追加日 | 2024-05-13 |
| 米国政府機関の対応期限 | 2024-06-03 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-416 |
何が起きた
Google Chrome などの元になっている Chromium の Visuals という部分に、解放したメモリを使い続けてしまう use-after-free という弱点が見つかり、実際に悪用が確認されています。Google も、この弱点を悪用する攻撃コードが出回っていることを把握していると発表しました。NVDの説明では、すでにレンダラープロセスを乗っ取った攻撃者が、細工した HTML ページを使ってサンドボックスの外へ抜け出せる可能性があります。攻撃はネットワーク経由で、ログインは不要ですが、利用者がページを開くなどの操作が必要です。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
124.0.6367.201 より前の Google Chrome が対象です。CISAによると、Microsoft Edge や Opera など、Chromium を使う他のブラウザーにも影響する可能性があります。
何をすればいい
Google Chrome を 124.0.6367.201 以降に更新してください。Microsoft Edge や Opera など Chromium を使う他のブラウザーも、それぞれのメーカーの更新が出ているか確かめて最新にしてください。メーカー（Google）の公式の案内も確認してください。
やることチェックリスト
- Chrome を 124.0.6367.201 以降に更新する
- Edge など他のブラウザーも最新に更新する
- 知らない相手から送られたページを開かないようにする
用語メモ
- Chromium
- Google が中心になって開発している、オープンソースのブラウザーの土台です。Chrome や Edge などがこれを使っています。
- use-after-free
- 使い終わって解放したメモリを、プログラムが誤って使い続けてしまう不具合です。悪用されると、プログラムの動きを乗っ取られることがあります。
- レンダラープロセス
- ブラウザーの中で、Web ページの内容を読み込んで画面に描く役割の部分です。
- サンドボックス
- プログラムを隔離された場所で動かし、問題が起きても外に影響しないようにする安全の仕組みです。
元データ（英語・CISA KEV より）
Google Chromium Visuals Use-After-Free Vulnerability
概要
Google Chromium Visuals contains a use-after-free vulnerability that allows a remote attacker to exploit heap corruption via a crafted HTML page. This vulnerability could affect multiple web browsers that utilize Chromium, including, but not limited to, Google Chrome, Microsoft Edge, and Opera.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.