Trusted Design

解説:

CVE-2018-17480について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2018-17480は、Google ChromiumのV8 JavaScriptエンジンにおける境界外書き込み（Out-of-Bounds Write）の脆弱性です。

1.1 影響

この脆弱性は、配列の逆シリアル化中に、攻撃者が細工したJavaScriptをユーザーに実行させることで、V8エンジンで境界外書き込みを引き起こします。これにより、リモートの攻撃者が任意のコードを実行できる可能性があります。

1.2 深刻度

CVSS (Common Vulnerability Scoring System) スコアは8.8であり、「重要（High）」と評価されています。

• CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
  • 攻撃元区分 (AV:N): ネットワーク経由で攻撃可能です。
  • 攻撃条件の複雑さ (AC:L): 攻撃の条件は低いです。
  • 必要な特権レベル (PR:N): 認証は不要です。
  • ユーザー関与レベル (UI:R): ユーザーの操作（悪意のあるサイトへのアクセスなど）が必要です。
  • スコープ (S:U): 脆弱性のあるコンポーネントのみに影響します。
  • 機密性への影響 (C:H): 機密性が完全に漏洩する可能性があります。
  • 完全性への影響 (I:H): 完全性が完全に侵害される可能性があります。
  • 可用性への影響 (A:H): 可用性が完全に侵害される可能性があります。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Google Chromeのバージョン71.0.3578.80より前のバージョンに影響します。 したがって、この影響を受けるChromeが動作する様々なオペレーティングシステムが対象となりますが、特定のOSバージョンが直接的に脆弱性の原因ではありません。

2.2 影響を受ける設定

V8エンジンにおける脆弱性であり、配列の逆シリアル化中にユーザーが提供したJavaScriptを実行することで引き起こされます。 特定の設定に依存するものではなく、影響を受けるバージョンのGoogle Chromeを使用している場合に影響を受けます。

3. 影響を受けた時の兆候

検索結果からは、この脆弱性が悪用された際の具体的な兆候は明示されていません。任意のコード実行につながるため、システムが不安定になったり、予期しないプロセスが実行されたり、データの窃取や改ざんが行われる可能性がありますが、直接的なユーザーが識別できる兆候は不明です。

4. 推奨対策

4.1 本対策

Google Chromeをバージョン71.0.3578.80以降にアップデートすることが推奨されます。 ソフトウェアの適切なパッチ適用は、攻撃者が重大な脆弱性を悪用する可能性を減らすために不可欠です。

4.2 暫定回避策（緩和策）

検索結果には、この脆弱性に対する明確な暫定回避策や緩和策は記載されていません。ブラウザエンジンの脆弱性であるため、根本的な解決策はアップデートによる修正プログラムの適用となります。

参照したサイト

• CyberStack: CVE-2018-17480
• TechRS: CVE-2018-17480 — פרטי פגיעות
• CVE Find: CVE-2018-17480 – Details CVSS, EPSS & CISA KEV
• Sysdig: クラウドの脆弱性トップ11とその軽減策