Trusted DesignCVE-2021-37973 の詳細
CVEの情報
説明:
Use after free in Portals in Google Chrome prior to 94.0.4606.61 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page.
CVE更新日: 2021-10-08 22:15:08.287000
CVSSバージョン: 3.1
CVSSスコア: 9.6
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.117350000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2021-37973について、以下の観点で解説します。
1. 脆弱性の概要
1.1 影響 Google ChromeのPortalsにおけるUse-after-freeの脆弱性です。攻撃者がレンダラープロセスを侵害した場合、細工されたHTMLページを介して、サンドボックスをエスケープする可能性があります。これにより、遠隔の攻撃者がシステム上で任意のコードを実行する可能性があります。
1.2 深刻度 NISTのNVD（National Vulnerability Database）に登録されており、CVSS v3.xの評価も提供されています。 本脆弱性は、攻撃者がすでに悪用していることが報告されており、CISAの「Known Exploited Vulnerabilities Catalog」にも追加されています。 これは、深刻度が高いことを示しています。
2. 対象となる環境
2.1 影響を受けるOSバージョン この脆弱性は、Google Chrome 94.0.4606.61より前のバージョンに影響します。 また、Chromiumをベースとするウェブブラウザ（Microsoft Edgeなど）も影響を受ける可能性があります。 特に、Ubuntu版のChrome 94.0.4606.60も影響を受けることが確認されています。
2.2 影響を受ける設定 Portals機能におけるUse-after-freeの脆弱性であり、特定のユーザー設定に依存して影響を受けるわけではありません。影響を受けるのは、脆弱性を持つバージョンのGoogle ChromeおよびChromiumベースのブラウザを使用している環境です。
3. 影響を受けた時の兆候
本脆弱性は、サンドボックスエスケープや潜在的なリモートコード実行につながるため、直接的なユーザーが認識できるような明確な兆候は不明です。通常、このような種類の脆弱性が悪用された場合、システムが予期しない動作をしたり、マルウェアに感染したりする可能性がありますが、CVE-2021-37973に特化した兆候は公開されていません。
4. 推奨対策
4.1 本対策 Google Chromeをバージョン94.0.4606.61以降にアップデートしてください。 Microsoft Edgeを含むChromiumベースのブラウザを使用している場合は、ベンダーの指示に従って最新の修正プログラムを適用する必要があります。 Google Chromeは、製品自体の自動更新機能を通じて、または「Google Chromeについて」ページにアクセスして手動で更新できます。更新を有効にするには、Google Chromeを再起動する必要があります。
4.2 暫定回避策（緩和策） 本脆弱性に対する具体的な暫定回避策や緩和策は、公開情報からは不明です。最も推奨される対策は、速やかに最新バージョンへアップデートすることです。
参照したサイト