Trusted Design

CVE-2021-38000 の詳細

CVEの情報

説明:
Insufficient validation of untrusted input in Intents in Google Chrome on Android prior to 95.0.4638.69 allowed a remote attacker to arbitrarily browser to a malicious URL via a crafted HTML page.

CVE更新日: 2021-11-23 22:15:07.807000

CVSSバージョン: 3.1

CVSSスコア: 6.1

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.049480000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: medium

Automatable: False

AIを使った解説

解説:

CVE-2021-38000に関する脆弱性調査結果を以下の通り解説します。

1. 脆弱性の概要

1.1 影響

この脆弱性は、Android版Google Chromeにおける「Intents」機能での信頼できない入力の検証が不十分であることに起因します。これにより、攻撃者は細工されたHTMLページを介して、ユーザーを任意の悪意のあるURLへ強制的にリダイレクトさせることが可能になります。この脆弱性は、機密性と整合性に限定的な影響を与える可能性があります。また、この脆弱性は、Chromeのサンドボックスから別のアプリケーションへの実行を移譲する目的で、より広範なエクスプロイトチェーンの一部として利用されたことが確認されています。例えば、実際に確認された攻撃では、ユーザーの操作なしにSamsungブラウザに実行が転送され、その後の古いChromiumバージョンに存在する他の脆弱性（n-day脆弱性）と組み合わせて悪用される可能性がありました。

1.2 深刻度

CVSS 3.1ベーススコアは6.1（中程度）であり、深刻度は「高」と評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Android版Google Chrome 95.0.4638.69より前のバージョンが影響を受けます。
  • この脆弱性は、Chromiumを利用している複数のWebブラウザ（Google Chrome、Microsoft Edge、Operaなど）にも影響を及ぼす可能性があります。

2.2 影響を受ける設定

この脆弱性の核心は、Android版Google Chromeの「Intents」機能における信頼できない入力の検証が不十分である点にあります。ChromeがAndroidインテントをサポートし、デバイス上の別のアプリケーションに実行を転送する際に、ユーザーによる十分な操作なしにこの転送が発生することが問題となります。具体的には、ユーザーがリンクをクリックした後、サーバーがインテントURLへの302リダイレクトを返し、その結果、外部アプリケーションで新しいURLが開かれるシナリオで悪用されます。この際、開かれるアプリケーションとそのアプリケーションに渡されるデータは外部サーバーによって制御されます。

3. 影響を受けた時の兆候

CVE-2021-38000は「In-the-wild」（実際に攻撃で悪用された）脆弱性であることが確認されています。この脆弱性の具体的な技術的侵害の痕跡（IOCs）については、詳細な情報が公開されている検索結果には明確に記載されていません。

しかし、本脆弱性が悪用された場合、ユーザーは以下の一般的な兆候に注意が必要です。 * 意図しないWebサイトへのブラウザリダイレクト * 予期しない外部アプリケーションの起動 * 不審なWebページの表示

一般的な侵害の痕跡（IOCs）としては、悪意のあるIPアドレス、URL、ドメインへのネットワークトラフィック、異常なアウトバウンドトラフィック、疑わしい設定変更などが挙げられますが、これらは本CVEに特化したものではありません。

4. 推奨対策

4.1 本対策

  • Android版Google Chromeをバージョン95.0.4638.69以降に速やかにアップデートしてください。このアップデートによって、Intentsにおける信頼できない入力の検証不十分が修正されます。

4.2 暫定回避策（緩和策）

  • ユーザーは、信頼できないリンクをクリックしたり、疑わしいWebページを開いたりする際に、最大限の注意を払う必要があります。
  • 組織は、URLフィルタリング機能を備えたモバイルセキュリティソリューションを導入し、既知の悪意のあるドメインへのアクセスを警告またはブロックするポリシーを適用することができます。
  • フィッシング詐欺の手口に関する定期的なユーザー意識向上トレーニングも、成功した悪用のリスクを軽減するのに役立ちます。
  • 根本的な対策として、ブラウザアプリから他のアプリケーションへの実行を転送するすべてのインテントに対して、ユーザーの同意を必須にするべきであるという提言があります。

5. 他に解説すべき観点

  • CISA KEVカタログへの登録: 本脆弱性は、CISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用された脆弱性（KEV: Known Exploited Vulnerabilities）カタログに登録されており、実際に攻撃で悪用されたことが確認されています。米国連邦政府機関は、2021年11月17日までにこの脆弱性への対応を完了することが義務付けられていました。
  • エクスプロイトチェーンの一部: この脆弱性は、それ単独ではChromeのアプリケーションサンドボックスから別のアプリケーションへの実行を移譲するにとどまります。デバイスを完全に悪用するためには、さらなるエクスプロイト（脆弱性）と組み合わせたエクスプロイトチェーンの一部として利用される必要があります。実際に確認された攻撃では、実行がSamsungブラウザに転送され、その後のN-day脆弱性を悪用してユーザーを侵害する可能性がありました。

参照サイト

NVDサイト

NVDでCVEの詳細を見る

戻る