Trusted Design

CVE-2023-5217 の詳細

CVEの情報

説明:
Heap buffer overflow in vp8 encoding in libvpx in Google Chrome prior to 117.0.5938.132 and libvpx 1.13.1 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High)

CVE更新日: 2023-09-28 16:15:10.980000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2023-10-02

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.490130000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-5217について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2023-5217は、Googleが開発した動画コーデックライブラリであるlibvpxのVP8エンコーディング機能におけるヒープバッファオーバーフローの脆弱性です。この脆弱性は、細工されたHTMLページを介してヒープ破損を悪用される可能性があります。

1.1 影響

この脆弱性が悪用された場合、攻撃者はリモートで任意のコードを実行し、完全なシステム侵害に至る可能性があります。 具体的には、機密性、完全性、可用性のリソースが侵害される恐れがあります。 攻撃者は、不正なHTMLページを閲覧させることで、標的のデバイス上で脆弱なブラウザの機能（連絡先、マイク、カメラ、メディアファイルなどへのアクセスを含む）を悪用する可能性があります。

1.2 深刻度

  • CVSS v3.1 スコア: 8.8 (High)
  • CVSS ベクター: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
    • AV:N (ネットワーク経由で攻撃可能)
    • AC:L (攻撃の複雑さが低い)
    • PR:N (認証は不要)
    • UI:R (ユーザーの対話が必要)
    • S:U (スコープは変更されない)
    • C:H (機密性への影響が高い)
    • I:H (完全性への影響が高い)
    • A:H (可用性への影響が高い)
  • Chromium セキュリティ深刻度: High

この脆弱性は「ゼロデイ」として活発に悪用されていることが報告されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、libvpxライブラリを使用する様々なソフトウェアおよびプラットフォームに影響を与えます。

  • ウェブブラウザ:
    • Google Chrome: バージョン 117.0.5938.132 より前のバージョン (Windows, Mac, Linux向け)
    • Mozilla Firefox:
      • Firefox 118.0.1 より前のバージョン
      • Firefox ESR 115.3.1 より前のバージョン
      • Android向けFirefox 118.1 より前のバージョン
      • Android向けFirefox Focus 118.1 より前のバージョン
    • Microsoft Edge: 116.0.1938.98 および 117.0.2045.47 (Edge Chromium 116.0.5845.229 および 117.0.5938.132も含む)
    • その他 Chromiumベースのブラウザ: Brave, Tor Browser, Opera, Vivaldi
  • ライブラリ:
    • libvpx: バージョン 1.13.1 より前のバージョン
  • OS/デバイス:
    • Appleデバイス: iOS 16.7、17.0から17.0.2、および iPadOS 16.7、17.0から17.0.2を実行しているデバイス
    • Linuxディストリビューション: Ubuntu, Debian, SUSE など、libvpxをパッケージとして使用している環境

2.2 影響を受ける設定

この脆弱性は、libvpxのVP8エンコーディング機能における不適切な境界チェックに起因するヒープバッファオーバーフローによって発生します。 攻撃は、ユーザーを特別に細工されたHTMLページに誘導することで引き起こされる可能性があります。 具体的には、libvpx VP8エンコーディングセッションで、スレッド数を減らしつつフレームの高さを増加させると、制御された長さの線形ヒープオーバーフローと、繰り返される小さな4バイト値の上書きが発生します。

3. 影響を受けた時の兆候

  • 異常なネットワークトラフィックパターン
  • 予期しないプロセスの作成
  • 上書きされたバッファを示すメモリダンプ分析

4. 推奨対策

4.1 本対策

  • Google Chrome: バージョン 117.0.5938.132 以降に更新します。
  • Mozilla Firefox: Firefox 118.0.1、Firefox ESR 115.3.1、Android向けFirefox 118.1、Android向けFirefox Focus 118.1 以降に更新します。
  • Microsoft Edge: 最新バージョンに更新します。
  • libvpxライブラリ: バージョン 1.13.1 にパッチを適用します。
  • Appleデバイス: 設定から「一般」に進み、「ソフトウェア・アップデート」を選択して最新のiOSまたはiPadOSバージョンをインストールします。
  • その他影響を受けるソフトウェア: ベンダーの指示に従って緩和策を適用するか、緩和策が利用できない場合は製品の使用を中止することが推奨されます。

4.2 暫定回避策（緩和策）

  • ブラウザの厳格なセキュリティ設定を有効にします。
  • パッチが適用されるまで、悪意のあるコンテンツをフィルタリングするためにネットワークエッジプロキシを実装します。
  • 疑わしいリンクをたどったり、疑わしいウェブページにアクセスしたりしないなど、基本的なオンラインの安全対策を徹底します。
  • 最新バージョンのlibvpxに更新できないソフトウェアの使用を、可能な限り避けるか中止します。

5. 他に解説すべき観点

  • CISAの既知の悪用されている脆弱性カタログへの掲載: CVE-2023-5217は、CISA (Cybersecurity and Infrastructure Security Agency) の「Known Exploited Vulnerabilities Catalog」に掲載されています。これは、この脆弱性が実際に悪用されていることを示しており、政府機関に対しては2023年10月23日までにパッチ適用または緩和策の実施が義務付けられました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る