Trusted Design

CVE-2019-8720 の詳細

CVEの情報

説明:
A vulnerability was found in WebKit. The flaw is triggered when processing maliciously crafted web content that may lead to arbitrary code execution. Improved memory handling addresses the multiple memory corruption issues.

CVE更新日: 2023-03-06 23:15:10.287000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2022-05-23

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.015560000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2019-8720について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2019-8720は、WebKitに存在する深刻なメモリ破損の脆弱性です。この脆弱性は、Google Project ZeroおよびMicrosoft Browser Vulnerability Researchチームによって発見されました。WebKitが不正に細工されたWebコンテンツを処理する際にトリガーされ、複数のメモリ破損問題に対処するためにメモリ処理の改善が行われました。

1.1 影響

この脆弱性が悪用されると、ホストシステム上で任意のコードが実行される可能性があります。 広範囲でWebKitが使用されているため、ユーザーのセキュリティとプライバシーに大きな影響を与える可能性があります。

1.2 深刻度

この脆弱性は「クリティカル」または「ハイ」と評価されています。 CVSSスコアは8.8 (High)とされており、一部の情報源ではCVSS3.0で9.8 (Critical)とされています。 CISAのKnown Exploited Vulnerabilities (KEV)カタログにも掲載されており、実世界で積極的に悪用されていることが確認されています。 関連するCWEはCWE-119（メモリバッファの境界内での操作の不適切な制限）です。

2. 対象となる環境

この脆弱性は、WebKitウェブコンテンツレンダリングエンジンに影響を与えます。WebKitは、Safariなどの一般的なブラウザや、様々なプラットフォーム上の他の多くのアプリケーションで利用されています。

2.1 影響を受けるOSバージョン

  • RedHat:
    • CodeReady Linux Builder 8.0
    • Enterprise Linux Server For Power Little Endian Update Services For Sap Solutions 8.6
    • Enterprise Linux Server TUS 8.4, 8.6
    • Enterprise Linux Server Update Services For Sap Solutions 8.4, 8.6
    • Enterprise Linux Workstation 7.0
  • Debian: webkit2gtk バージョン2.26.0-1未満 (debian:11)
  • Rocky Linux 8: crlsa-2020_4451アドバイザリで参照されている、webkitgtkを含むパッケージ
  • WebKitを使用するHTMLパーサー全般に影響を与える可能性があり、これにはApple SafariおよびWebKitに依存するApple以外の製品が含まれます。

2.2 影響を受ける設定

特定の「影響を受ける設定」は明確に記載されていません。この脆弱性はWebKitのメモリ処理に関連しており、悪意を持って細工されたWebコンテンツによってトリガーされます。

3. 影響を受けた時の兆候

この脆弱性の悪用は、クラッシュまたは任意のコード実行を引き起こす可能性があります。 任意のコードが実行された場合、システムへの不正アクセス、データ漏洩、システム整合性の侵害など、様々な形で兆候が現れる可能性がありますが、直接的なユーザーが認識できる「兆候」は攻撃者のペイロードに依存します。

4. 推奨対策

4.1 本対策

  • ベンダーの指示に従ってアップデートを適用することが最も推奨される対策です。
  • WebKitを使用するウェブブラウザやその他のアプリケーションを最新の状態に保つことで、既知の脆弱性の悪用を防ぐことができます。
  • 脆弱性に対処するために、改善されたメモリ処理が実装されています。これには以下の主要な改善が含まれます。
    • 境界チェックやアドレスランダム化などの新しいメモリ安全メカニズムの実装。
    • より堅牢なガベージコレクションおよびメモリ割り当てプロセスの導入（use-after-free脆弱性の防止）。
    • 信頼できない入力に対する厳格な検証とサニタイズ。
  • Debianの場合、webkit2gtkバージョン2.26.0-1以降が修正版です。

4.2 暫定回避策（緩和策）

検索結果には、CVE-2019-8720に特化した具体的な暫定回避策は明記されていません。一般的に、ベンダーが正式なセキュリティパッチをリリースするまでの間、脆弱なシステムを悪用から保護するための手動による変更が回避策とされます。

他に解説すべき観点

  • 悪用例: 悪意のあるWebコンテンツは、多数の子div要素を追加するループ内でメモリ破損を引き起こし、その後、範囲外の子要素にアクセスしてinnerHTMLを変更しようとすることで、クラッシュまたは任意のコード実行を誘発する可能性があります。
  • CISA Known Exploited Vulnerabilitiesカタログへの掲載: 米国サイバーセキュリティ・社会基盤安全保障庁（CISA）は、実世界で悪用されていることが確認された脆弱性を「Known Exploited Vulnerabilities (KEV)カタログ」で公開しており、CVE-2019-8720もこのカタログに掲載されています。 これは、この脆弱性に対する迅速な対策が極めて重要であることを示唆しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る