Trusted Design

CVE-2021-21193 の詳細

CVEの情報

説明:
Use after free in Blink in Google Chrome prior to 89.0.4389.90 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page.

CVE更新日: 2021-03-16 15:15:13.157000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.098700000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2021-21193について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-21193は、Google ChromeのBlinkレンダリングエンジンにおけるUse-After-Free（解放済みメモリ使用）の脆弱性です。これは、アプリケーションが解放されたメモリを参照し続けることで発生するメモリ破損の欠陥（CWE-416）です。

1.1 影響

リモートの攻撃者が、特別に細工されたHTMLページを介してヒープ破損を悪用し、ブラウザプロセスのコンテキスト内で任意のコードを実行する可能性があります。これにより、ドライブバイダウンロード攻撃を通じて、完全なシステム侵害につながる可能性があります。データ破損も典型的な結果として挙げられます。攻撃はネットワーク経由で行われ、ユーザーが不正なWebページにアクセスする必要があります。

1.2 深刻度

CVSSv3スコアは8.8（High Severity）と評価されています。また、CISAのKnown Exploited Vulnerabilities (KEV) カタログに登録されており、実環境で積極的に悪用されている（ゼロデイ攻撃）ことが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Google Chrome バージョン 89.0.4389.90より前のバージョン（Windows, Mac, Linux）
  • Fedora 32（バンドルされたChromiumパッケージを含む）
  • Debian Linux 10.0（バンドルされたChromiumパッケージを含む）
  • Google Chrome, Microsoft Edge, Operaなど、Chromiumを基盤とする他のウェブブラウザや、Chromiumエンジンを組み込んでいるアプリケーション（例: Electron）も影響を受ける可能性があります。

2.2 影響を受ける設定

この脆弱性はBlinkレンダリングエンジンというコアコンポーネントに存在するため、特定の「設定」によって脆弱性が増減することはありません。影響を受けるバージョンのブラウザやエンジンを使用している限り、脆弱性の影響を受けます。攻撃には認証やターゲットシステムへの事前アクセスは不要です。

3. 影響を受けた時の兆候

  • 特定のウェブサイトを閲覧した際の予期せぬブラウザのクラッシュまたは不安定性
  • ChromeまたはChromiumプロセスにおける異常なメモリ消費パターン
  • ブラウザログにおける疑わしいJavaScriptの実行またはDOM操作の痕跡
  • エクスプロイトコンテンツを提供する既知の悪意のあるドメインへのネットワーク接続
  • ブラウザプロセスからの異常な子プロセスの生成

4. 推奨対策

4.1 本対策

  • Google Chromeを直ちにバージョン89.0.4389.90以降にアップデートしてください。
  • Chromiumを搭載しているFedoraおよびDebianシステムについては、対応するセキュリティアップデートを適用してください（Fedora Package AnnouncementおよびDebian Security Advisory DSA-4886を参照）。
  • その他のChromium組み込みアプリケーション（例: Electron）を使用している場合は、それぞれのベンダーからのパッチ情報を確認し、適用してください。

4.2 暫定回避策（緩和策）

  • すべてのChromiumベースのブラウザで自動更新を有効にしてください。
  • パッチ適用が完了するまでの間、リスクの高いユーザーに対して一時的なブラウザ分離を検討してください。
  • CISA KEVの修復ガイダンスを確認し、コンプライアンス要件に準拠してください。米国の連邦政府機関の場合、2021年11月17日までにこの脆弱性を修復することが求められていました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る