Trusted Design

CVE-2025-10585 の詳細

CVEの情報

説明:
Type confusion in V8 in Google Chrome prior to 140.0.7339.185 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High)

CVE更新日: 2025-09-24 17:15:39.473000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2025-09-23

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.053910000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-10585について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-10585は、Google ChromeのV8 JavaScriptおよびWebAssemblyエンジンに存在する型の取り違え（Type Confusion）のゼロデイ脆弱性です。これはプログラムがリソースやオブジェクトを何らかのタイプに割り当てた後に、互換性のない異なるタイプでアクセスした場合に発生します。これにより、論理エラーやメモリ破損が生じ、最終的に任意コード実行につながる可能性があります。

1.1 影響

この脆弱性が悪用されると、攻撃者は細工された悪意のあるWebページをユーザーに閲覧させることで、ブラウザのセキュリティサンドボックスを回避し、任意のコードを実行する可能性があります。これにより、システム侵害、情報漏洩、クラッシュ、またはその他の不正な操作につながる可能性があります。

1.2 深刻度

Googleは、この脆弱性を「High」と評価しています。 TenableやRapid7は「Critical」と評価しており、共通脆弱性評価システム（CVSS）のv3.1による基本スコアは9.8（Critical）です。 CVSS 3.1のベクトルはAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hです。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性の影響を受けるのは、脆弱なChromeバージョンを実行している以下のOSです。 * Windows * macOS * Linux

2.2 影響を受ける設定

  • Google Chromeのバージョン140.0.7339.185（Linuxの場合）、または140.0.7339.185/.186（Windows/macOSの場合）より前のバージョンが影響を受けます。
  • Microsoft Edge、Brave、Opera、Vivaldiなど、Chromiumベースの他のブラウザでV8エンジンを使用しているものも影響を受ける可能性があります。
  • リモートの攻撃者が細工されたHTMLページを介してヒープ破損を悪用する可能性があります。

3. 影響を受けた時の兆候

  • ユーザーが悪意のあるWebページを読み込むだけで、任意コード実行やブラウザのクラッシュが引き起こされる可能性があります。
  • 本脆弱性は実際の攻撃で悪用されているゼロデイ脆弱性であるため、攻撃が成功した場合は、悪意のあるコードの実行によるシステム侵害、情報窃取、その他の不正な動作が発生する可能性があります。エンドユーザーにとって直ちに目に見える兆候がない場合もあります。

4. 推奨対策

4.1 本対策

  • Google Chromeを以下のバージョンにアップデートしてください。
    • WindowsおよびmacOSの場合：140.0.7339.185/.186以降
    • Linuxの場合：140.0.7339.185以降
  • Microsoft Edge、Brave、Opera、Vivaldiなど、他のChromiumベースのブラウザを使用している場合は、対応するセキュリティアップデートが公開され次第、速やかにインストールしてください。
  • アップデートを完全に適用するには、Google Chromeの再起動が必要です。

4.2 暫定回避策（緩和策）

  • 本脆弱性は実際に悪用が確認されているため、パッチ未適用のシステムは重大なリスクにさらされています。
  • Googleは、ユーザーがパッチを適用する前に攻撃者が脆弱性を悪用するのを防ぐため、技術的な詳細や悪用に関する情報を公開していません。
  • 利用可能な一時的な回避策は具体的に示されていませんが、組織においては、すべてのシステムが更新されるまで、パッチ適用と追加の保護を優先することが推奨されます。

5. 不明点

  • この脆弱性がどのような脅威アクターによって、どのような標的型攻撃で悪用されたのか、具体的な詳細は公開されていません。
  • 脆弱性の詳細や概念実証（PoC）コードは、ユーザーが修正を適用する前に悪用を助長するのを防ぐため、制限されています。

6. その他解説すべき観点

  • 発見者: この脆弱性は、2025年9月16日にGoogleの脅威分析グループ（TAG）によって発見され、報告されました。
  • ゼロデイ攻撃: CVE-2025-10585は、発見時に既に実際の攻撃で悪用されていたゼロデイ脆弱性です。
  • 今年のゼロデイ: 2025年において、Google Chromeで実際に悪用が確認された6件目のゼロデイ脆弱性です。
  • 悪用メカニズム: 型の取り違えは、JavaScriptエンジンがオブジェクトのデータ型を誤って識別することで発生し、メモリ破損を引き起こします。攻撃者はこれを悪用してヒープ破損を引き起こし、任意読み書きのプリミティブを得て、最終的にコード実行にエスカレートさせることが可能です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る