Trusted DesignCVE-2019-13720 の詳細
CVEの情報
説明:
Use after free in WebAudio in Google Chrome prior to 78.0.3904.87 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page.
CVE更新日: 2019-11-25 15:15:33.887000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2022-05-23
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.494210000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2019-13720に関する脆弱性調査結果を以下に解説します。
1. 脆弱性の概要
CVE-2019-13720は、Google ChromeのWebAudioコンポーネント（Blinkレンダラーの
convolver_node.cc）における解放後メモリ使用（Use-After-Free; UaF）の脆弱性です。1.1 影響
この脆弱性を悪用されると、リモートの攻撃者が細工されたHTMLページを介してヒープ破損を引き起こし、レンダラーのリモートコード実行（RCE）が可能になります。攻撃者は、デバイスへのデータの読み書き権限を獲得し、マルウェアをダウンロード、復号、実行するために利用しました。
1.2 深刻度
この脆弱性の深刻度は「高」であり、CVSS v3.1基本スコアは8.8です。この脆弱性は、発見時に「Operation WizardOpium」と名付けられた攻撃キャンペーンで実際に悪用されたゼロデイ脆弱性でした。
2. 対象となる環境
2.1 影響を受けるOSバージョン
Google Chromeのバージョン78.0.3904.87より前のWindows、macOS、およびLinux版が影響を受けます。特に、実際の攻撃ではChromeバージョン76または77（64ビット版Windows向け）が標的とされました。
また、Chromiumをベースとするアプリケーションフレームワーク「Electron」も影響を受けました。 * Electron 6：攻撃を受ける恐れがあり、v6.1.4へのアップデートが必要でした。 * Electron 5、Electron 7（v7.0.1以降）、Electron 8：この脆弱性は存在せず、影響を受けません。
2.2 影響を受ける設定
サードパーティまたは信頼されていないJavaScriptを実行する可能性のあるElectronアプリケーションが影響を受けました。
3. 影響を受けた時の兆候
4. 推奨対策
4.1 本対策
Google Chromeをバージョン78.0.3904.87以降にアップデートしてください。通常、Chromeは自動的に更新されますが、ブラウザを再起動することでアップデートが適用されることを確認できます。
Electronアプリケーションを使用している場合は、Electronのバージョンを更新してください。 * Electron 6を使用している場合は、v6.1.4へアップデート。 * Electron 7を使用している場合は、v7.0.1以降へアップデート。
4.2 暫定回避策（緩和策）
この脆弱性に対する具体的な暫定回避策は、ブラウザのアップデート以外には明示されていません。ただし、悪意のあるWebページによって引き起こされるブラウザの脆弱性であるため、信頼できないWebサイトへのアクセスを避け、エクスプロイト防御機能を備えたセキュリティソフトウェアを使用することが、ある程度の保護を提供する可能性があります。
参照したサイト