Trusted DesignCVE-2022-3075 の詳細
CVEの情報
説明:
Insufficient data validation in Mojo in Google Chrome prior to 105.0.5195.102 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page.
CVE更新日: 2022-09-26 16:15:13.463000
CVSSバージョン: 3.1
CVSSスコア: 9.6
KEVの情報
KEV更新日: 2022-09-08
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.058460000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2022-3075について、以下の観点で解説します。
1. 脆弱性の概要
1.1 影響 Google ChromeのMojoにおけるデータ検証の不備により、リモートの攻撃者がレンダラープロセスを侵害した後に、細工されたHTMLページを介してサンドボックスエスケープを潜在的に実行できる脆弱性です。この脆弱性が悪用されると、攻撃者は任意のコードを実行したり、プログラムをインストールしたり、データを閲覧・変更・削除したり、あるいは完全なユーザー権限を持つ新しいアカウントを作成したりする可能性があります。
1.2 深刻度 この脆弱性は深刻度「Critical」（CVSS 9.6）と評価されています。また、一部では高危険度（CVSS 7.4）とも評価されています。2022年9月8日にCISAのKnown Exploited Vulnerabilitiesカタログに追加されており、実際に悪用が確認されているゼロデイ脆弱性です。
2. 対象となる環境
2.1 影響を受けるOSバージョン 以下のバージョンより前のGoogle Chromeデスクトップ版（Windows, Mac, Linux）が影響を受けます。 * Google Chrome バージョン 105.0.5195.102 より前
また、Chromiumをベースとする以下のブラウザも影響を受けます。 * Microsoft Edge バージョン 105.0.1343.27 より前 * Brave バージョン 1.45.26 より前 * Vivaldi バージョン 5.4.2753.47 より前
2.2 影響を受ける設定 影響を受ける設定は不明です。この脆弱性はMojoコンポーネントにおけるデータ検証の不備に起因するため、特定のユーザー設定で回避できるものではありません.
3. 影響を受けた時の兆候
影響を受けた時の具体的な兆候は不明です。ただし、攻撃が成功した場合、攻撃者はサンドボックスを回避してシステム上で任意の操作を行う可能性があるため、異常なシステム動作や意図しない変更が発生する可能性があります。
4. 推奨対策
4.1 本対策 脆弱性を修正したバージョンに速やかにアップデートしてください。
chrome://settings/helpと入力し、バージョンチェックと自動更新を実行後、「再起動」して更新を完了します.edge://settings/helpと入力し、バージョンチェックと自動更新を実行後、「再起動」して更新を完了します.brave://settings/helpと入力し、バージョンチェックと自動更新を実行後、「再起動」して更新を完了します.自動更新機能を有効にしておくことも推奨されます.
4.2 暫定回避策（緩和策） 暫定回避策は不明です。
参照したサイト