Trusted Design

CVE-2020-16013 の詳細

CVEの情報

説明:
Inappropriate implementation in V8 in Google Chrome prior to 86.0.4240.198 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page.

CVE更新日: 2021-01-08 19:15:12.460000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.027560000

EPSS更新日: 2026-10-20 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2020-16013について、以下の観点で解説します。

1. 脆弱性の概要

Google ChromeのV8 JavaScriptエンジンにおける不適切な実装の脆弱性です。細工されたHTMLページを介してヒープ破損を悪用される可能性があります。これはゼロデイ脆弱性として、実環境で悪用が確認されています。

1.1 影響

リモートの攻撃者により、細工されたHTMLページを介してヒープ破損を悪用され、プログラムのクラッシュ、予期しない値の使用、または影響を受けるシステム上でのコード実行につながる可能性があります。 具体的には、高い機密性、完全性、可用性への影響があり、リモートコード実行 (RCE) が発生する可能性もあります。

1.2 深刻度

  • CVSS v3.1 スコア: 8.8 (High)
    • 攻撃経路 (AV): Network (ネットワーク)
    • 攻撃の複雑さ (AC): Low (低)
    • 必要な特権 (PR): None (不要)
    • ユーザーインタラクション (UI): Required (必要) - 攻撃者はユーザーに細工されたHTMLページを訪問させる必要があります。
    • スコープ (S): Unchanged (変更なし)
    • 機密性への影響 (C): High (高)
    • 完全性への影響 (I): High (高)
    • 可用性への影響 (A): High (高)
  • この脆弱性は、CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実環境で積極的に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Google Chrome バージョン 86.0.4240.198より前のバージョン
  • Windows、macOS、Linux版のChromeに影響があります。
  • この脆弱性は、Google Chrome、Microsoft Edge、Operaなど、Chromiumを利用する複数のWebブラウザに影響を及ぼす可能性があります。
  • CefSharp.Common (NuGet)、CefSharp.WinForms (NuGet)、CefSharp.Wpf (NuGet)、CefSharp.Wpf.HwndHost (NuGet) のバージョン 86.0.241より前のバージョンも影響を受けます。
  • Ubuntu (16.04 LTS, 18.04 LTS)、Red Hat Enterprise Linux (Desktop 6.0, Server 6.0, Workstation 6.0)、Debian GNU/Linux (8, 9, 10)、OpenSUSE Leap (15.1, 15.2)、Astra Linux Special Edition (1.6)、Astra Linux Common Edition (2.12)、OSNOV (2.1まで)、OS ON "Strelets" (2023年1月16日まで) など、特定のLinuxディストリビューションのChromiumパッケージも影響を受けます。

2.2 影響を受ける設定

V8 JavaScriptレンダリングエンジンに脆弱性があるため、特定の「設定」というよりは、脆弱なV8エンジンを搭載したブラウザやChromiumベースのアプリケーションの存在が影響を受けます。

3. 影響を受けた時の兆候

この脆弱性の影響を受けた際に、ユーザーが直接認識できる具体的な兆候は、検索結果には明示されていません。しかし、影響としてプログラムのクラッシュ、予期しない値の使用、任意のコード実行が含まれるため、予期しないブラウザの終了、異常な動作、またはシステム上の不審な活動が間接的な兆候となる可能性があります。

4. 推奨対策

4.1 本対策

  • Google Chromeをバージョン 86.0.4240.198以降にアップデートしてください。
  • 影響を受ける他のChromiumベースのブラウザ（Microsoft Edge、Operaなど）および関連コンポーネント（CefSharpなど）についても、ベンダーの指示に従ってアップデートを適用してください。
  • 特定のLinuxディストリビューションの場合、それぞれのChromiumパッケージをアップデートしてください。
  • すべてのエンドポイントでブラウザの自動アップデートがポリシーによって強制されていることを確認してください。
  • 迅速な対応計画に基づき、ベンダーの修正プログラムを優先的に適用してください。
  • 米国の連邦政府機関には、2022年5月3日までに修正を完了する期限が設けられていました。

4.2 暫定回避策（緩和策）

この脆弱性に対して、永続的な修正以外の具体的な暫定回避策は検索結果に明示されていません。ただし、パッチが適用されるまで、影響を受けるコンポーネントの外部への露出を制限することが推奨されています。 また、KEV Intelligenceの報告時点では、ModSecurity、Cloudflare、AWS WAF向けの仮想パッチは提供されていませんでした。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る