Trusted Design

解説:

CVE-2021-30563について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-30563は、Google ChromeのV8 JavaScriptエンジンにおけるタイプコンフュージョン（Type Confusion）の脆弱性です。V8は、Google Chrome内でJavaScriptコードを実行する役割を担っています。

タイプコンフュージョンとは、プログラムがある型のオブジェクトを割り当てたにもかかわらず、その後に互換性のない型を使用してアクセスすることで発生する脆弱性で、メモリ破壊や潜在的なコード実行につながる可能性があります。この脆弱性は、細工されたHTMLページを介してヒープ破損を悪用される可能性があります。

1.1 影響

リモートの攻撃者が細工されたHTMLページを介してヒープ破損を悪用する可能性があります。この脆弱性は、Google Chrome、Microsoft Edge、Operaなど、Chromiumを使用する複数のWebブラウザに影響を与える可能性があります。悪用に成功すると、攻撃者はブラウザのコンテキスト内で任意のコードを実行し、システム全体の侵害につながる可能性があります。

具体的には、機密性、完全性、可用性の損失を引き起こす可能性があります。

1.2 深刻度

• CVSS v3.1基本評価値: 8.8 (High)
• CVSSベクトル: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
  • 攻撃元区分 (AV:N - Network): ネットワーク経由で攻撃可能です。
  • 攻撃条件の複雑さ (AC:L - Low): 攻撃の複雑さは低いです。
  • 必要な特権レベル (PR:N - None): 攻撃に特権は不要です。
  • ユーザ関与レベル (UI:R - Required): 脆弱性の悪用には、被害者が悪意のあるウェブページにアクセスするなど、ユーザーの操作が必要です。
  • スコープ (S:U - Unchanged): 脆弱性の悪用によってセキュリティスコープは変更されません。
  • 機密性への影響 (C:H - High): 機密性への影響は高いです。
  • 完全性への影響 (I:H - High): 完全性への影響は高いです。
  • 可用性への影響 (A:H - High): 可用性への影響は高いです。

この脆弱性は、CISAの既知の悪用された脆弱性カタログに掲載されており、実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• Google Chromeのバージョン91.0.4472.164より前のバージョン。
• 脆弱なChromeバージョンを実行しているすべてのプラットフォーム（Windows、macOS、Linux）。
• 影響を受けるV8エンジンバージョンを組み込んでいるChromiumベースのブラウザ（Microsoft Edge、Operaなど）。
• 具体的には、Windows 10 (1507, 1607, 1809, 1903, 1909) および Server 2016, Server 2019上のGoogle Chromeも影響を受けるとされています。

2.2 影響を受ける設定

この脆弱性はV8 JavaScriptエンジンに存在するため、特定の「設定」というよりも、脆弱なブラウザまたはエンジンを使用している環境が影響を受けます。攻撃は悪意のあるWebページを閲覧することでトリガーされます。

3. 影響を受けた時の兆候

影響を受けた際の兆候として、以下の点が挙げられます。 * 特定のWebサイトにアクセスしたときに、ブラウザのクラッシュやフリーズが異常に発生する。 * ブラウザプロセスから発信される不審なネットワーク接続。 * ChromeまたはChromiumベースのブラウザによって予期せぬ子プロセスが生成される。 * ブラウザのクラッシュダンプにおけるメモリ破損や異常なメモリアクセスパターンの証拠。

4. 推奨対策

4.1 本対策

• ベンダーの指示に従ってアップデートを適用してください。
• Google Chromeおよびその他のChromiumベースのブラウザをバージョン91.0.4472.164以降にアップデートすることで、この脆弱性は解消されます。

4.2 暫定回避策（緩和策）

検索結果からは、この脆弱性に対する具体的な暫定回避策はアップデートの適用以外には言及されていません。細工されたHTMLページによってトリガーされるブラウザの脆弱性の性質上、パッチ適用なしに効果的な回避策を講じることは困難です。

5. その他解説すべき観点

• CISAの既知の悪用された脆弱性カタログ (Known Exploited Vulnerabilities Catalog) への登録: この脆弱性は、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の既知の悪用された脆弱性カタログに掲載されており、実際に悪用されたことが確認されています。これは、早急な対策が必要であることを示しています。
• 発見のタイムライン: この脆弱性は、2021年8月3日にNVD（National Vulnerability Database）に公開されました。その後、2021年11月3日にCISA KEVに登録され、2021年11月17日までにアップデートを適用する期限が設定されました。

参照したサイト

• CVE-2021-30563 Detail - NVD - NIST
• CVE-2021-30563: Google Chromium V8 Type Confusion Vulnerability | H2 Security
• CVE-2021-30563: Google Chrome V8 RCE Vulnerability - SentinelOne
• CVE-2021-30563 Google Chrome v8 type confusion - Vulnerability Database
• CVE-2021-30563 | Mondoo Vulnerability Intelligence
• CVE-2021-30563 - Google Chromium V8 Type Confusion Vulnerability | turingpoint
• Known Exploited Vulnerabilities Catalog - CISA
• Type Confusion in V8 in Google Chrome prior to 91.0.4472... · CVE-2021-30563 - GitHub
• CVE-2021-30563 - CyberStack
• CVE-2021-30563: Google Chromium V8 Type Confusion Vulnerability - ScyScan