Trusted DesignCVE-2021-37975 の詳細
CVEの情報
説明:
Use after free in V8 in Google Chrome prior to 94.0.4606.71 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page.
CVE更新日: 2021-10-08 22:15:08.373000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.348870000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2021-37975について、以下の観点で解説します。
1. 脆弱性の概要
1.1 影響
Google ChromeのJavaScriptエンジン「V8」におけるUse-After-Free（解放済みメモリ使用）の脆弱性です。V8のガベージコレクタのロジックバグにより、生存しているオブジェクトが回収され、Use-After-Freeが発生します。これにより、攻撃者は特別に細工されたHTMLページを介してヒープ破損を悪用し、標的のコンピューター上で任意のコードを実行する可能性があります。結果として、コンピューターのセキュリティが侵害される可能性があります。
1.2 深刻度
この脆弱性のCVSS v3.1スコアは8.8（NIST）または8.4（カスペルスキーによる「緊急」評価）とされており、深刻度は高いです。また、本脆弱性は公開された時点で既に攻撃者によって悪用されていたことが確認されており、CISAの既知の悪用されている脆弱性（KEV）カタログにも追加されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性は、バージョン94.0.4606.71より前のGoogle Chromeに影響します。また、Chromiumベースのブラウザも影響を受け、Microsoft Edgeではバージョン94.0.992.38より前のバージョンが対象となります。特定のOSバージョンに限定されず、影響を受けるGoogle ChromeまたはChromiumベースのブラウザが動作するすべてのOS環境が影響を受けます。
2.2 影響を受ける設定
Google ChromeのV8 JavaScriptエンジンのガベージコレクタに存在するロジック上の欠陥が原因です。悪意のあるウェブサイトにアクセスすることで悪用される可能性があります。特定のブラウザ設定によって影響を受けるかどうかの情報は明確には記載されていません。
3. 影響を受けた時の兆候
悪意のあるウェブサイトにアクセスすることで、攻撃者によって任意のコードが実行され、結果としてコンピューターのセキュリティが侵害される可能性があります。ただし、直接的にユーザーが視認できる特定のシステム異常やエラーメッセージといった兆候については、詳細な情報は見つかっていません。
4. 推奨対策
4.1 本対策
Google Chromeを直ちにバージョン94.0.4606.71以降にアップデートしてください。Microsoft Edgeをご利用の場合は、バージョン94.0.992.38にアップデートすることを推奨します。ブラウザを長時間起動したままにしていると自動アップデートが適用されない場合があるため、手動でバージョンを確認し、最新版に更新することが重要です。
4.2 暫定回避策（緩和策）
本脆弱性に対する具体的な暫定回避策は、公開情報では詳細が示されていません。最も効果的かつ推奨される対策は、速やかにブラウザを最新バージョンにアップデートすることです。
参照したサイト
その他解説すべき観点