Trusted Design

CVE-2023-2136 の詳細

CVEの情報

説明:
Integer overflow in Skia in Google Chrome prior to 112.0.5615.137 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High)

CVE更新日: 2023-04-19 04:15:31.607000

CVSSバージョン: 3.1

CVSSスコア: 9.6

KEVの情報

KEV更新日: 2023-04-21

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.057390000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-2136は、Googleが開発した2DグラフィックスライブラリSkiaにおけるゼロデイの整数オーバーフロー脆弱性です。この脆弱性はすでに悪用が確認されており、迅速な対応が求められます。

1. 脆弱性の概要

1.1 影響

この脆弱性はSkiaにおける整数オーバーフローの欠陥であり、細工されたHTMLページを介して、レンダラープロセスが侵害されたリモートの攻撃者がサンドボックスを回避できる可能性があります。これにより、任意のコード実行、メモリ破壊、および不正なシステムアクセスにつながる可能性があります。

1.2 深刻度

CVE-2023-2136は、高い深刻度または緊急レベルに分類されており、CVSS v3.1スコアは9.6または9.8と報告されています。 これはゼロデイ脆弱性であり、攻撃者がこの脆弱性を積極的に悪用していることがGoogleによって確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Google Chrome:
    • Windows版：バージョン112.0.5615.137/138より前
    • Mac版：バージョン112.0.5615.137より前
    • Linux版：バージョン112.0.5615.165より前（当時、リリース予定）
  • ChromeOS
  • Android OS: バージョン11、12、13（およびサポート終了した古いOSバージョンも影響を受ける可能性あり）
  • Flutter
  • Microsoft Edge: macOS、Linux、Androidプラットフォーム上のバージョン112.0.1722.54/58より前。Windows環境のMicrosoft Edgeは本脆弱性の影響を受けません。
  • ChromiumまたはSkiaを使用している他の製品も影響を受ける可能性があります。

2.2 影響を受ける設定

この脆弱性は、影響を受ける製品内でSkiaグラフィックスライブラリが使用されていることに起因します。特定の「設定」によって脆弱性が有効または無効になるわけではありません。脆弱性の悪用には、細工されたHTMLページを介してレンダラープロセスを侵害する必要があります。

3. 影響を受けた時の兆候

この脆弱性に関する具体的な兆候は公開情報からは不明です。攻撃は静かに行われるか、さらなる攻撃の足がかりとなる可能性があります。

4. 推奨対策

4.1 本対策

各ベンダーから提供される最新のセキュリティアップデートを速やかに適用してください。 * Google Chrome: * Windows版はバージョン112.0.5615.137/138以降 * Mac版はバージョン112.0.5615.137以降 * Linux版はバージョン112.0.5615.165以降 への更新が推奨されます。通常、Chromeは自動的に更新されますが、メニューから「ヘルプ」>「Google Chromeについて」を選択して手動で更新を確認・適用できます。 * Android OS: Android 11、12、13のユーザーは、2023年7月のセキュリティアップデート以降の最新のセキュリティアップデートを適用してください。 「設定」>「システム」>「システムアップデート」、または「設定」>「セキュリティとプライバシー」>「アップデート」>「セキュリティアップデート」からアップデートできます。 * Microsoft Edge: 影響を受けるプラットフォーム（macOS、Linux、Android）では、バージョン112.0.1722.54または112.0.1722.58以降への更新が推奨されます。 * その他のChromiumベースのブラウザやSkiaを使用している製品についても、ベンダーから提供される修正が利用可能になり次第、適用してください。

4.2 暫定回避策（緩和策）

本脆弱性に対する具体的な暫定回避策は、公開情報からは確認されていません。最も効果的な対策は、ベンダーが提供するセキュリティアップデートを速やかに適用することです。

他に解説すべき観点

  • 脆弱性の種類 (CWE): CWE-190 (Integer Overflow: 整数オーバーフロー)
  • 報告者: Googleの脅威分析グループ (TAG) のClément Lecigne氏が2023年4月12日に報告しました。
  • コンポーネント: Skia (Googleのオープンソースのマルチプラットフォーム2Dグラフィックスライブラリ)

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る