Trusted Design

CVE-2023-7024 の詳細

CVEの情報

説明:
Heap buffer overflow in WebRTC in Google Chrome prior to 120.0.6099.129 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High)

CVE更新日: 2023-12-21 23:15:11.213000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2024-01-02

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.066710000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-7024について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2023-7024は、Google ChromeおよびChromiumベースのウェブブラウザに存在する高深刻度のゼロデイ脆弱性です。WebRTCフレームワークにおけるヒープベースのバッファオーバーフローに起因します。

1.1 影響

本脆弱性は、攻撃者が細工されたHTMLページを介してヒープ破損を悪用することにより、リモートで任意のコードを実行する可能性があります。これにより、システムが完全に侵害され、データの窃取、改ざん、システムのオフライン化につながる可能性があります。 この脆弱性は実際に悪用されていることが確認されています。

1.2 深刻度

CVSS 3.1基本評価スコアは8.8（高）と評価されています (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)。 この脆弱性は、CISAのKnown Exploited Vulnerabilities Catalogに2024年1月2日に追加されており、対応期限は2024年1月23日とされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性は、WebRTCコンポーネントを使用する以下のブラウザおよびそれらが動作するOSバージョンに影響を与えます。

  • Google Chrome: バージョン120.0.6099.129より前のもの（Mac、Linux、Windows版）。
  • Microsoft Edge: Chromiumエンジンを利用するバージョン120.0.2210.91より前のもの。
  • その他のChromiumベースのブラウザ:
    • Brave: バージョン1.61.109より前のもの。
    • Vivaldi: バージョン6.5.3206.48より前のもの。
  • Linuxディストリビューション: Fedora 38、Fedora 39、Debian 11.0、Debian 12.0も影響を受ける可能性があります。

2.2 影響を受ける設定

本脆弱性は、WebRTCフレームワークの脆弱性であり、ユーザーが細工されたHTMLページを含む悪意のあるファイルやリンクを開くことによって悪用される可能性があります。

3. 影響を受けた時の兆候

Googleは本脆弱性の悪用による特定の攻撃の詳細や、ユーザーが直接影響を受けたかについては公表していません。 しかし、一般的にヒープバッファオーバーフローを悪用した任意コード実行の兆候としては以下が考えられます。

  • ブラウザプロセスの異常な動作やクラッシュ。
  • 予期しないシステム動作。
  • 不明なプロセスの実行。
  • 不正なデータアクセスや変更。

対策として、異常なブラウザプロセス動作やヒープ破損パターンを監視するためのエンドポイント検出および対応（EDR）機能の強化が推奨されています。

4. 推奨対策

4.1 本対策

以下のバージョンに速やかにアップデートしてください。

  • Google Chrome: バージョン120.0.6099.129以降に更新する。
    • Chromeを開き、アドレスバーにchrome://settings/helpと入力すると、バージョンチェックと自動更新が行われます。更新後、「再起動」をクリックして適用を完了します。
  • Microsoft Edge: バージョン120.0.2210.91以降に更新する。
    • Edgeを開き、アドレスバーにedge://settings/helpと入力すると、バージョンチェックと自動更新が行われます。更新後、「再起動」をクリックして適用を完了します。
  • Brave: バージョン1.61.109以降に更新する。
    • Braveを開き、アドレスバーにbrave://settings/helpと入力すると、バージョンチェックと自動更新が行われます。更新後、「再起動」をクリックして適用を完了します。
  • Vivaldi: バージョン6.5.3206.48以降に更新する。
    • Vivaldiを開き、左上のVivaldiアイコンをクリックし、「ヘルプ」>「更新を確認」を選択します。更新後、「再起動」をクリックして適用を完了します。

4.2 暫定回避策（緩和策）

  • 信頼できないウェブサイトへのアクセスや不審なリンクのクリックを避けるなど、極めて慎重に行動する。
  • 厳格なコンテンツセキュリティポリシー（CSP）などのブラウザセキュリティポリシーを適用する。
  • 既知の悪意あるドメインをブロックするためにネットワークフィルタリングを展開する。
  • 異常なブラウザプロセス動作やヒープ破損パターンを監視するために、エンドポイント検出および対応（EDR）機能を強化する。

その他解説すべき観点

  • 発見者: GoogleのThreat Analysis GroupのClément Lecigne氏とVlad Stolyarov氏によって報告されました。
  • CWE: 本脆弱性の弱点タイプはCWE-787 (Out-of-bounds Write) に分類されます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る