Trusted Design

解説:

CVE-2022-1096について、以下の観点から解説します。

1. 脆弱性の概要

CVE-2022-1096は、Google ChromeのV8 JavaScriptエンジンにおけるタイプコンフュージョン（型混同）の脆弱性です。この脆弱性は、細工されたHTMLページを介してヒープ破損を悪用し、リモートでコードが実行される可能性があります。攻撃はネットワーク経由で行われ、ユーザーが悪意のあるWebページにアクセスすることで発動します。この脆弱性は、Zero-Dayとして積極的に悪用されていることが確認されています。

1.1 影響

攻撃者が細工されたHTMLおよびJavaScriptを含む悪意のあるWebページを作成し、フィッシングキャンペーンや広告、または水飲み場型攻撃を通じて配布することで、脆弱なChromeブラウザを使用しているユーザーがそのページを訪問すると、JavaScriptがタイプコンフュージョンを引き起こします。これにより、ヒープ破損が悪用され、結果として任意のコード実行が可能になります。 成功した場合、攻撃者は脆弱なデバイス上のユーザーデータを侵害する可能性があり、カメラ、マイク、位置情報、閲覧履歴など、ブラウザが持つあらゆる機能へのアクセスを許可する可能性があります。

1.2 深刻度

この脆弱性の深刻度は「高（High）」と評価されており、共通脆弱性評価システム（CVSS）スコアは8.8です。 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性を「既知の悪用されている脆弱性（KEV: Known Exploited Vulnerabilities）」カタログに掲載しており、実際に悪用されていることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Google Chromeのバージョン99.0.4844.84より前のデスクトップ版（Windows、Mac、Linux）およびAndroid版が影響を受けます。 また、Chromiumを基盤とする他のWebブラウザ（Microsoft Edge、Operaなど）も影響を受ける可能性があります。

2.2 影響を受ける設定

この脆弱性は、Google ChromeのV8 JavaScriptエンジンに存在します。 特定の設定変更によって脆弱性を回避できるわけではなく、脆弱なバージョンを使用していること自体が影響を受ける条件となります。

3. 影響を受けた時の兆候

この脆弱性の悪用は、通常、ユーザーに明らかな兆候を示すことなくバックグラウンドで行われる可能性があります。攻撃が成功した場合、モバイルデバイス管理（MDM）ツールによって検知されない場合があります。 しかし、ユーザーのデータ侵害、カメラ、マイク、位置情報、閲覧履歴などのブラウザ機能への不正アクセスが行われる可能性があります。

4. 推奨対策

4.1 本対策

Google Chromeをバージョン99.0.4844.84以降に速やかにアップデートすることが強く推奨されます。 その他のChromiumベースのブラウザを使用している場合も、ベンダーの指示に従ってアップデートを適用してください。

4.2 暫定回避策（緩和策）

この脆弱性に対する一般的なエンドユーザー向けの明確な暫定回避策や緩和策は提供されていません。 既知の悪用が確認されているゼロデイ脆弱性であるため、利用可能なセキュリティパッチを適用することが最も重要かつ推奨される対策となります。

参照したサイト

• CVE-2022-1096: Google Chrome V8 RCE Vulnerability - SentinelOne
• NVD-CVE-2022-1096 - National Vulnerability Database
• CVE-2022-1096: Chrome Type Confusion in Property Access Interceptor | 0-days In-the-Wild
• CVE-2022-1096 — exploited in the wild (CISA KEV): remediation & advisories | VulnTrek
• CVE-2022-1096 - Lookout, Inc
• 「脆弱性TODAY」キュレーターによる2022年5月の振り返り - GRCS
• Chrome Browser 0 Day - CVE-2022-1096 - Menlo Security
• 「脆弱性TODAY」キュレーターによる2022年8月の振り返り - GRCS