Trusted Design

CVE-2022-4135 の詳細

CVEの情報

説明:
Heap buffer overflow in GPU in Google Chrome prior to 107.0.5304.121 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High)

CVE更新日: 2022-11-25 01:15:09.957000

CVSSバージョン: 3.1

CVSSスコア: 9.6

KEVの情報

KEV更新日: 2022-11-28

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.318640000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2022-4135は、Google ChromeおよびChromiumベースのブラウザに影響を与える深刻な脆弱性です。以下にその詳細を解説します。

1. 脆弱性の概要

1.1 影響

本脆弱性は、Google ChromeのGPUコンポーネントにおけるヒープバッファオーバーフローの欠陥です。攻撃者は、レンダラープロセスをすでに侵害している場合に、細工されたHTMLページを介してこの脆弱性を悪用し、サンドボックスからのエスケープを可能にします。これにより、ブラウザのセキュリティ境界外でホストシステム上のコード実行につながる可能性があります。機密性、完全性、可用性に対する影響は「高」と評価されています。

1.2 深刻度

この脆弱性は深刻度が「Critical（緊急）」と評価されており、CVSS 3.1スコアは9.6です。Googleは本脆弱性が実際に悪用されていることを確認しており、米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は「Known Exploited Vulnerabilities (KEV)」カタログに追加しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のOSで動作するブラウザが影響を受けます。 * Windows * macOS * Linux * Android

影響を受ける主な製品とバージョンは以下の通りです。 * Google Chrome: バージョン 107.0.5304.121 より前のバージョン * Microsoft Edge (Chromiumベース): バージョン 107.0.1418.62 より前のバージョン、またはそれに相当するChromiumベースのリリース * その他のChromiumベースのブラウザ: Opera, FreeBSD, Debian, Fedoraなども影響を受ける可能性があります。

2.2 影響を受ける設定

特定のシステム設定ではなく、影響を受けるブラウザのバージョンを使用している場合に脆弱性の影響を受けます。GPUコンポーネントが脆弱性の対象となります。

3. 影響を受けた時の兆候

影響を受けた際の兆候としては、以下のようなものが挙げられます。 * ChromeのGPUプロセス (chrome.exe --type=gpu-process) の予期せぬクラッシュや再起動。 * ブラウザプロセスがシェル、スクリプトホスト、またはその他の「living-off-the-land」バイナリを生成する。 * ブラウザの子プロセスから、未分類または新しく登録されたドメインへの外部接続。 * 不正な設定変更など、異常なブラウザ動作に関連するログの兆候。 * ユーザーセッションにおける挙動の異常。

4. 推奨対策

4.1 本対策

  • Google Chromeをアップデートする: Google Chromeをバージョン 107.0.5304.121 以降にアップデートしてください。
  • Microsoft Edgeをアップデートする: Microsoft Edgeを対応するChromiumベースのリリース、具体的にはバージョン 107.0.1418.62 以降にアップデートしてください。
  • パッチ適用後、ブラウザセッションを強制的に再起動し、パッチが適用されたバイナリがメモリにロードされていることを確認してください。

4.2 暫定回避策（緩和策）

  • 悪意のある可能性のあるサイトへのアクセスを制限するために、ネットワーク制御を実装する。
  • 不審な活動がないかログを監視する。
  • 信頼できないコンテンツを閲覧するシステムでの修復作業を優先する。

5. その他解説すべき観点

  • 脆弱性の種類: ヒープバッファオーバーフロー (Heap Buffer Overflow)
  • 共通脆弱性タイプ識別子 (CWE): CWE-787 (Out-of-bounds Write)
  • 発見者: Googleの脅威分析グループ (Threat Analysis Group, TAG) のClement Lecigne氏によって発見されました。
  • 悪用状況: 本脆弱性はゼロデイ脆弱性として実際に悪用が確認されています。攻撃の実行にはユーザー操作が必要であり、攻撃者によって制御されたコンテンツをブラウザで読み込む必要があります。

参照サイト: * CVE-2022-4135: Google Chrome Buffer Overflow Vulnerability - SentinelOne * CVE-2022-4135 | Critical Vulnerability in Google Chrome GPU - Appsecure Security * Heap buffer overflow in GPU · CVE-2022-4135 · GitHub Advisory Database * CVE-2022-4135: Chrome heap buffer overflow in validating command decoder | 0-days In-the-Wild * CVE-2022-4135 - Lookout, Inc. * CVE-2022-4135: Chrome GPU Heap Ovrflw Sndbx - Miggo Security * CVE-2022-4135: Google Chromium GPU Heap Buffer Overflow Vulnerability - Safeguard * CVE-2022-4135 - CVE Record * CVE-2022-4135 - Security Bug Tracker - Debian * November 28 CISA KEV Breakdown | Oracle Fusion RCE, Chromium Buffer Overflow * Google pushes urgent Chrome fix for CVE-2022-4135 | PDQ

NVDサイト

NVDでCVEの詳細を見る

戻る