Trusted Design

CVE-2025-6554 の詳細

CVEの情報

説明:
Type confusion in V8 in Google Chrome prior to 138.0.7204.96 allowed a remote attacker to perform arbitrary read/write via a crafted HTML page. (Chromium security severity: High)

CVE更新日: 2025-06-30 22:15:29.873000

CVSSバージョン: 3.1

CVSSスコア: 8.1

KEVの情報

KEV更新日: 2025-07-02

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.141420000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2025-6554に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2025-6554は、Google ChromeのV8 JavaScriptおよびWebAssemblyエンジンにおけるタイプコンフュージョン（Type Confusion）の脆弱性です。この脆弱性は、V8エンジンが細工されたHTMLコンテンツを処理する際に、データ型を誤って解釈することにより発生します。これにより、攻撃者は割り当てられたメモリ範囲外での任意の読み取り/書き込み操作を実行できる可能性があります。

攻撃は、リモートの攻撃者が悪意を持って細工されたHTMLページに被害者を誘導することで行われます。この脆弱性の悪用には、ダウンロードやクリックといったユーザー操作は不要で、単に悪意のあるウェブサイトを訪問するだけで攻撃が成立する可能性があります。この脆弱性は、Googleの脅威分析グループ（TAG）のClément Lecigne氏によって発見され、すでにゼロデイ脆弱性として悪用されていることが確認されています。

1.1 影響

この脆弱性が悪用された場合、以下のような深刻な影響が発生する可能性があります。

  • 任意のコード実行（RCE）
  • メモリ上での任意の読み取り/書き込み操作
  • サンドボックスエスケープの可能性
  • 機密データの窃取
  • 影響を受けるシステムの完全な制御を奪われる可能性
  • スパイウェアの展開やブラウザのハイジャック
  • 影響を受けるシステムのセキュリティが危険にさらされる

1.2 深刻度

CVE-2025-6554は、その潜在的な影響と実証済みの悪用状況から「高（High）」と評価されています。

  • CVSS v3.1基本評価スコア: 8.1 (High)
  • Chromiumセキュリティ深刻度: 高
  • 特に、活発な悪用が確認されているため、その影響は「致命的（Critical）」とされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のバージョンより前のGoogle Chromeが影響を受けます。

  • Windows版 Google Chrome: 138.0.7204.96 より前
  • macOS版 Google Chrome: 138.0.7204.92 より前
  • Linux版 Google Chrome: 138.0.7204.96 より前
  • Androidプラットフォームも影響を受ける可能性があります。

2.2 影響を受ける設定

V8 JavaScriptおよびWebAssemblyエンジンを使用しているChromiumベースのブラウザ全般が影響を受けます。具体的には以下の製品が含まれます。

  • Google Chrome
  • Microsoft Edge
  • Opera
  • Brave
  • Vivaldi

また、最新のセキュリティアップデートが適用されていないすべてのユーザーが影響を受けます。

3. 影響を受けた時の兆候

ユーザーが直接認識できる明確な兆候は、検索結果には明示されていません。しかし、脆弱性の影響（任意のコード実行、データ窃取、システム侵害、スパイウェア展開、ブラウザハイジャック）から、以下のような状況が発生する可能性があります。

  • ブラウザまたはシステムが予期せぬ動作をする。
  • パフォーマンスの低下。
  • 見慣れないプログラムの実行や、ファイルの作成・変更。
  • 意図しないネットワーク接続。

セキュリティ監視の観点からは、以下のような兆候が考えられます。

  • EDR/SIEMシステムが、類似スタックトレースを伴うレンダラーの繰り返しクラッシュ、異常なJavaScriptペイロードパターン、またはウェブサイト訪問後の異常な動作を警告する。
  • ネットワーク監視システムが、ブラウザ発信の不審なドメインへのアウトバウンド接続を検出する。

4. 推奨対策

4.1 本対策

  • Google Chromeのアップデート: 影響を受けるすべてのユーザーは、Google Chromeを最新の安定バージョンに直ちにアップデートすることを強く推奨します。
    • Windows版: 138.0.7204.96/.97 以降
    • macOS版: 138.0.7204.92/.93 以降
    • Linux版: 138.0.7204.96 以降
  • Chromiumベースの他ブラウザのアップデート: Microsoft Edge, Opera, Brave, VivaldiなどのChromiumベースのブラウザのユーザーも、ベンダーからパッチが提供され次第、速やかに最新バージョンにアップデートしてください。
  • ブラウザの再起動: アップデートを適用した後、変更を有効にするためにブラウザを直ちに再起動してください。
  • 自動更新の有効化: Chromeの自動更新を有効にすることで、常に最新のセキュリティパッチが適用されるようにすることを推奨します。
  • 企業環境での対応: 企業環境でエンドポイントを管理している場合は、集中型エンドポイント管理システムを通じて、遅滞なくアップデートをプッシュ適用してください。

4.2 暫定回避策（緩和策）

  • ブラウザ拡張機能の権限の見直しと制限: ブラウザ拡張機能の権限を確認し、不必要な権限を持つ拡張機能の利用を制限または削除を検討してください。
  • スクリプトブロック拡張機能の導入: 追加のセキュリティレイヤーとして、スクリプトブロック拡張機能の導入を検討してください。
  • サイトおよびプロセス分離の有効化: ブラウザ内でサイトおよびプロセス分離を有効にしてください。
  • 信頼できないコンテンツに対するコンテンツフィルタリングおよびJS実行ポリシーの使用: 信頼できないコンテンツに対して、コンテンツフィルタリングやJavaScript実行ポリシーを設定することを検討してください。
  • 不審なウェブサイトへのアクセス回避: 悪意のあるウェブサイトを訪問することで攻撃が成立するため、不審なウェブサイトへのアクセスは避けるべきです。

5. 他に解説すべき観点

  • CWE分類: CWE-843 – Access of Resource Using Incompatible Type ('Type Confusion')
  • 発見者: Googleの脅威分析グループ（TAG）のClément Lecigne氏
  • 悪用の性質: この種の脆弱性は、しばしばウォーターリングホール攻撃、マルバタイジング（悪意のある広告）、またはドライブバイダウンロード攻撃で使用されます。また、国家が支援するアクターが、スパイ活動や監視目的で利用している可能性も指摘されています。
  • MITRE ATT&CKフレームワーク:
    • TA0002 – 実行 (Execution): 悪意のあるコードを実行するために脆弱性を悪用する。
    • T1203 – クライアント実行のための悪用 (Exploitation for Client Execution): 脆弱性をトリガーするように細工された悪意のあるウェブページに被害者を誘導する。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る