Trusted Design

CVE-2024-7965 の詳細

CVEの情報

説明:
Inappropriate implementation in V8 in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High)

CVE更新日: 2024-08-21 21:15:08.947000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2024-08-28

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.185280000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2024-7965について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2024-7965は、Google ChromeおよびChromiumベースのブラウザに搭載されているV8 JavaScriptエンジンにおける不適切な実装に起因する、リモートコード実行（RCE）の脆弱性です。 攻撃者は、特別に細工されたHTMLページを介してヒープ破損を引き起こすことにより、この脆弱性を悪用する可能性があります。

1.1 影響

リモートの攻撃者がユーザーを悪意のあるWebページに誘導することで、ブラウザのレンダラープロセス内でヒープ破損をトリガーし、結果として任意のコード実行を可能にする可能性があります。 さらに、ブラウザサンドボックスからの脱出の脆弱性と組み合わせることで、攻撃者はブラウザアプリケーションを完全に制御し、パスワードの読み取りやユーザーセッションの乗っ取りなどの深刻な影響を与える可能性があります。 米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、この脆弱性を既知の悪用されている脆弱性（KEV）カタログに追加しており、実社会での活発な悪用が確認されています。

1.2 深刻度

この脆弱性は「高（High）」Severityと評価されており、CVSSv3スコアは8.8です。 関連するCWE（Common Weakness Enumeration）は、CWE-787 (Out-of-bounds Write) および CWE-358 (Improperly Implemented Security Check for Standard) が挙げられます。 また、CWE-1068 (Inconsistency Between Implementation and Documented Design) とも関連しています。

2. 対象となる環境

Google ChromeおよびChromiumベースのブラウザに影響を与えます。

2.1 影響を受けるOSバージョン

特定のOSバージョンに限定されるものではありませんが、脆弱性はChromeのV8エンジンに存在するため、脆弱性のあるChromeバージョンを実行しているすべてのOSが影響を受ける可能性があります。特に、この脆弱性はARM64デバイスでのみ発生するとされており、Androidスマートフォンや2020年11月以降にリリースされたApple製ノートパソコンに主に影響を与えると報告されています。

2.2 影響を受ける設定

  • Google Chromeバージョン 128.0.6613.84 より前のバージョンが影響を受けます。
  • Microsoft Edgeを含む、影響を受けるV8エンジンを組み込んでいるChromium派生ブラウザも影響を受けます。
  • Red Hatが提供する製品にはChromiumが同梱されていないため、Red Hatのサポート対象製品は影響を受けません。

3. 影響を受けた時の兆候

具体的な兆候についての詳細な情報は提供されていません。しかし、リモートコード実行が可能であることから、以下のような兆候が現れる可能性があります。

  • ブラウザの予期せぬクラッシュや異常終了。
  • 身に覚えのないプログラムの実行。
  • システムパフォーマンスの低下。
  • ネットワーク活動の異常な増加。
  • 機密情報の漏洩（ブラウザサンドボックスからの脱出を伴う場合）。

ヒープ破損がトリガーされると、攻撃者はレンダラープロセス内の任意のメモリを読み書きできるようになる可能性があります。

4. 推奨対策

4.1 本対策

  • Google Chromeのアップデート: Google Chromeをバージョン 128.0.6613.84 以降に直ちに更新してください。
  • Chromiumベースブラウザのアップデート: Microsoft EdgeなどのChromiumベースのブラウザを使用している場合も、対応する最新バージョンに更新してください。
  • CISAの推奨事項: ベンダーの指示に従って緩和策を適用するか、緩和策が利用できない場合は製品の使用を中止することをCISAは推奨しています。

4.2 暫定回避策（緩和策）

  • 自動更新ポリシーの適用: 企業環境においては、エンタープライズ管理ツール（グループポリシー、Intune、Jamfなど）を通じてブラウザの自動更新ポリシーを適用し、迅速なパッチ適用を確実に実施してください。
  • Webフィルタリングの実施: すぐに更新ができないユーザーに対しては、ウェブフィルタリングを活用し、信頼できるカテゴリへのブラウジングを制限してください。
  • JavaScriptの無効化: 運用上可能な場合は、信頼できないサイトでのJavaScriptの実行をブラウザポリシーによって無効にすることを検討してください。
  • サイト分離とサンドボックスの確認: サイト分離を有効にし、レンダラーサンドボックスが確実に機能していることを確認してください。
  • 代替ブラウザの使用: Red Hatは、アップデートがリリースされるまで、一時的にFirefoxのような代替のウェブブラウザに切り替えるか、よく知っている信頼できるサイトへの活動を厳しく制限することを検討するよう提案しています。

他に解説すべき観点

  • 発見者: この脆弱性は、TheDogというオンライン名義のセキュリティ研究者によって2024年7月30日に発見され報告されました。
  • 悪用状況: Googleがアップデートをリリースした当初（2024年8月21日）には悪用が確認されていませんでしたが、その後2024年8月26日にGoogleがアドバイザリを更新し、実社会での活発な悪用が確認されたことが発表されました。 これを受けて、CISAはKnown Exploited Vulnerabilities (KEV) カタログにCVE-2024-7965を追加しました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る