「Chrome」へのゼロデイ攻撃が判明、最新のリリースで修正

　Googleは米国時間3月5日、先ごろ公開した「Chrome」のパッチについて、実際に攻撃を受けていたゼロデイ脆弱性の修正だったことを明らかにした。

　攻撃は、セキュリティ脆弱性「CVE-2019-5786」を突くもので、1日にリリースされた「Chrome 72.0.3626.121」に含まれていたパッチは、この脆弱性を修正するものだけだった。

　1日の発表に加えられた更新情報とChromeのセキュリティ担当責任者のツイートによると、CVE-2019-5786は、パッチを公開した時点で実際に攻撃を受けていたという。

　Googleはこの脆弱性について、Chromeの「FileReader」に存在するメモリ管理のエラーだと説明している。FileReaderは、すべての主要なブラウザに実装されているウェブAPIで、ウェブアプリがユーザーのコンピュータに保存されたファイルの内容を読み出すのに使用される。

　具体的には、CVE-2019-5786は解放後使用の脆弱性で、Chromeの割り当てメモリから解放または削除された後に、アプリがメモリにアクセスしようとする際に発生するメモリのエラーだ。こういったメモリアクセス操作の誤った処理が、不正なコードの実行につながるおそれがある。

　エクスプロイトベンダーZerodiumの最高経営責任者（CEO）を務めるChaouki Bekrar氏によると、CVE-2019-5786を突けば、不正なコードがChromeのサンドボックスを迂回して、基盤となるOS上でコマンドを実行できるということらしい。

Google discovered a Chrome RCE #0day in the wild (CVE-2019-5786). Reportedly, a full chain with a sandbox escape: https://t.co/Nxfrvr5wIh

In 2019, I expect epic 0days to be found in the wild: Android, iOS, Windows, Office, virtualization, and more. Stay safe and enjoy the show.

— Chaouki Bekrar (@cBekrar) 2019年3月6日

　Googleは、この脆弱性を突く攻撃が実際にあったことを明らかにしたほか、脆弱性を発見したセキュリティ研究者（GoogleのThreat Analysis Groupに所属するClement Lecigne氏）に感謝の意を示した。

　MicrosoftのセキュリティエンジニアであるMatt Miller氏は、2月にイスラエルで開催されたセキュリティカンファレンスで講演し、Microsoftが毎年パッチを公開する脆弱性の約70％は、Chromeチームが先週パッチを公開した脆弱性と同じようなメモリの安全性に関するエラーだと述べた。

　そういったエラーのほとんどは、「memory-unsafe」（メモリの内容を直接操作するコードが書ける）な2つのプログラミング言語、「C」「C++」を用いるのが原因だ。CとC++は、Chromeのベースとなっているオープンソースプロジェクト「Chromium」のソースコードにも使用されている。

　Chromeユーザーは、ブラウザに搭載されているアップデートツールを利用して、すぐにバージョン「72.0.3626.121」にアップデートすることが推奨されている。

If you (or your users) are running Chrome and you're not yet on 72.0.3626.121 ... accelerate.

The CVE-2019-5786 details aren't public yet ... but if Justin thinks you should prioritize, he's A) in a good position to know why and B) doesn't say this very often. https://t.co/QiMe7ZJCh2

— Royce Williams (@TychoTithonus) 2019年3月6日