Trusted DesignCVE-2024-4671 の詳細
CVEの情報
説明:
Use after free in Visuals in Google Chrome prior to 124.0.6367.201 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High)
CVE更新日: 2024-05-14 15:44:15.573000
CVSSバージョン: 3.1
CVSSスコア: 9.6
KEVの情報
KEV更新日: 2024-05-13
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.083480000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2024-4671について、以下の観点で解説します。
1. 脆弱性の概要
1.1 影響 Google ChromeのVisualsコンポーネントにおけるUse-After-Freeの脆弱性です。リモートの攻撃者が、細工されたHTMLページを介して、レンダラープロセスを侵害し、サンドボックスエスケープを潜在的に実行する可能性があります。これにより、攻撃者は特権を昇格させ、サンドボックスの制約から逃れることができます。また、ヒープの破損を悪用し、任意コードを実行する恐れがあります。
1.2 深刻度 この脆弱性は深刻度「高（High）」と評価されており、CVSS v3.1ベーススコアは9.6（Critical）です。この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログにもリストされており、実際に悪用が確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン * Google Chrome: Windows、Mac、Linux版のバージョン124.0.6367.201/.202よりも前のバージョンが影響を受けます。 * Microsoft Edge: バージョン124.0.2478.97よりも前のバージョンが影響を受けます。 * その他Chromiumベースのブラウザ: Vivaldiなど、Chromiumをベースとする他のブラウザも影響を受ける可能性があります。 * OS: FedoraProject Fedora 38, 39, 40も影響を受ける製品として挙げられています。
2.2 影響を受ける設定 Google ChromeのVisualsコンポーネントが影響を受けます。HTML処理中のメモリ管理が不適切なUse-After-Freeの状態が脆弱性の根本原因です。
3. 影響を受けた時の兆候
影響を受けた際の兆候としては、以下が挙げられます。 * 予期しないアプリケーションのクラッシュ * 異常なシステムプロセスの動作 * 疑わしいアウトバウンドトラフィック
4. 推奨対策
4.1 本対策 * Google Chrome: WindowsおよびMac版はバージョン124.0.6367.201/.202以降、Linux版はバージョン124.0.6367.201以降にアップデートしてください。Chromeは通常自動的にアップデートされますが、設定メニューから「Chromeについて」を選択することで手動で更新を確認し、完了後にブラウザを再起動して適用できます。 * Microsoft Edge: バージョン124.0.2478.97以降にアップデートしてください。 * その他Chromiumベースのブラウザ: それぞれのベンダーから提供されているパッチ適用済みのバージョンに速やかにアップデートしてください。
4.2 暫定回避策（緩和策） この脆弱性は既に悪用が確認されているゼロデイ脆弱性であるため、具体的な暫定回避策ではなく、速やかなパッチの適用（アップデート）が強く推奨されています。CISAは、パッチ適用または影響を受けるシステムの隔離、および侵害の有無の調査を推奨しています。
その他解説すべき観点
参照したサイト