Trusted Design

解説:

CVE-2021-21148は、Google ChromeのV8 JavaScriptエンジンにおけるヒープバッファオーバーフローの脆弱性です。以下に詳細を解説します。

---

1. 脆弱性の概要

1.1 影響

この脆弱性は、細工されたHTMLページを介してヒープメモリの破損を悪用される可能性があり、結果としてブラウザのプロセス内で任意のコードを実行される可能性があります。攻撃に成功した場合、情報の漏えい、データの改ざん、およびサービス運用妨害（DoS）につながる可能性があります。 本脆弱性は、ゼロデイ攻撃として実際に悪用されたことが確認されています。

1.2 深刻度

CVSS v3.1スコアは8.8 (High) と評価されています。 CVSS v3.1の評価指標は以下の通りです。 * 攻撃元区分 (Attack Vector): ネットワーク (Network) * 攻撃条件の複雑さ (Attack Complexity): 低 (Low) * 必要な特権レベル (Privileges Required): 不要 (None) * ユーザー関与レベル (User Interaction): 必要 (Required) (細工されたHTMLページを閲覧させるなど) * スコープ (Scope): 変更なし (Unchanged) * 機密性への影響 (Confidentiality Impact): 高 (High) * 完全性への影響 (Integrity Impact): 高 (High) * 可用性への影響 (Availability Impact): 高 (High)

CISA (米国サイバーセキュリティ・インフラセキュリティ庁) の既知の悪用されている脆弱性 (KEV) カタログにも追加されており、実際の標的に対する悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性は、主にGoogle ChromeのV8エンジンに存在するため、以下のバージョンより前のGoogle ChromeおよびChromiumをベースとするブラウザが影響を受けます。 * Google Chrome: バージョン88.0.4324.150より前のバージョン * Microsoft Edge、Operaなど: Chromiumを利用している複数のWebブラウザが影響を受ける可能性があります。 * Linuxディストリビューション: chromium-browser パッケージを使用しているUbuntu (18.04 LTS bionic、16.04 LTS xenialで修正済み) や、Alpine Linux、Arch Linux、Debian、FreeBSD、Gentoo Linux、Suseなどが、それぞれ特定のパッケージのアップデートを推奨しています。

2.2 影響を受ける設定

特定の「影響を受ける設定」は報告されていません。本脆弱性はブラウザのV8 JavaScriptエンジン自体に存在するため、ユーザー設定によって脆弱性の悪用を防ぐものではありません。

3. 影響を受けた時の兆候

本脆弱性が悪用された際のユーザーが直接認識できる具体的な「兆候」については、詳細な情報は見つかりませんでした。しかし、任意のコード実行が可能となるため、以下のような間接的な兆候が考えられます。 * ブラウザの予期せぬクラッシュ * PCのパフォーマンス低下 * 不審なプロセスやネットワーク通信の発生 * システムの異常な動作

これらの兆候は他の問題でも発生しうるため、本脆弱性に特有のものではありません。

4. 推奨対策

4.1 本対策

Google ChromeおよびChromiumベースのブラウザを最新バージョンに更新することが唯一かつ最も重要な対策です。 * Google Chrome: バージョン88.0.4324.150以降にアップデートしてください。 * Microsoft Edge、Operaなど: 各ベンダーの指示に従い、最新バージョンにアップデートしてください。 * Linuxディストリビューション: 各ディストリビューションのパッケージ管理システムを通じて、関連するパッケージを更新してください。 CISAも「ベンダーの指示に従ってアップデートを適用すること」を必須の対策としています。

4.2 暫定回避策（緩和策）

本脆弱性に対する具体的な「暫定回避策」は公表されていません。本質的な解決策は、影響を受けるソフトウェアを最新バージョンにアップデートすることです。一般的に、WebブラウザのJavaScript機能を無効にすることも考えられますが、Webサイトの機能に大きな影響を与えるため、実用的な回避策とは言えません。

他に解説すべき観点

• 共通脆弱性タイプ識別子 (CWE): CWE-787 (Out-of-Bounds Write) または CWE-122 (Heap-based Buffer Overflow) に分類されます。これは、確保されたメモリバッファの境界を越えてデータが書き込まれることを示しています。

---

参照したサイト

• CVE-2021-21148: Google Chrome Buffer Overflow Vulnerability - SentinelOne
• CVE-2021-21148: Google Chromium V8 Heap Buffer Overflow Vulnerability - Safeguard
• CVE-2021-21148 | Ubuntu
• CVE-2021-21148 - CyberStack
• Heap buffer overflow in V8 in Google Chrome prior to 88.0... · CVE-2021-21148 - GitHub
• CVE-2021-21148: Out-of-bounds Write | Rapid7 Vulnerability Database
• CVE-2021-21148: Out-of-bounds Write | Rapid7 Vulnerability Database (2)
• JVNDB-2021-016978 - JVN iPedia - 脆弱性対策情報データベース
• 尽快更新！Chrome修复两个已遭在野利用的0day漏洞- 安全内参