Trusted Design

CVE-2023-3079 の詳細

CVEの情報

説明:
Type confusion in V8 in Google Chrome prior to 114.0.5735.110 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High)

CVE更新日: 2023-06-05 22:15:12.383000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2023-06-07

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.378580000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-3079について、以下の観点から解説します。

1. 脆弱性の概要

CVE-2023-3079は、Google ChromeおよびChromiumベースのブラウザに搭載されているJavaScriptエンジン「V8」における型の取り違え（Type Confusion）の脆弱性です。この脆弱性は、細工されたHTMLページを介して悪用される可能性があります。

Googleの脅威分析グループ（TAG）によって2023年6月1日に報告され、すでに悪用が確認されているゼロデイ脆弱性です。

1.1 影響

攻撃者は、この脆弱性を利用して、ユーザーを悪意のあるウェブページに誘導することで、メモリ破損を引き起こし、アプリケーションのクラッシュ（ブラウザの強制終了）を発生させたり、情報漏洩、サービス運用妨害（DoS）攻撃、または任意のコード実行を引き起こす可能性があります。

1.2 深刻度

この脆弱性の深刻度は「高（High）」と評価されており、共通脆弱性評価システム（CVSSv3）の基本値は8.8です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

影響を受けるのは特定のOSバージョンではなく、主に以下のブラウザの特定のバージョンです。これらのブラウザはWindows、macOS、LinuxなどのOSで動作します。

  • Google Chrome 114.0.5735.110 未満 (Windows向け)
  • Google Chrome 114.0.5735.106 未満 (macOSおよびLinux向け)
  • Microsoft Edge (Chromiumベース) 114.0.1823.41 未満 (および109.0.1518.115など古いバージョンにも修正が適用されています)
  • Brave 1.52.122 未満
  • Vivaldi 6.1.3035.32 未満
  • その他、V8 JavaScriptエンジンをバンドルしているChromiumベースのブラウザ全般
  • Debian GNU/Linux 11.0, 12.0
  • Fedora 38

2.2 影響を受ける設定

特定の「設定」が影響を受けるという情報は見つかりませんでした。この脆弱性は、V8 JavaScriptエンジンの実装そのものに起因します。

3. 影響を受けた時の兆候

影響を受けた際の兆候としては、以下のようなものが考えられます。

  • ブラウザやアプリケーションの予期せぬクラッシュ
  • 身に覚えのないブラウザ拡張機能がインストールされている
  • 不正なアクセスや、ブラウザからのアクセスリクエストが外部に流出している兆候
  • 情報漏洩やサービスの停止
  • 意図しないコードが実行される

4. 推奨対策

4.1 本対策

影響を受けるブラウザを最新の修正済みバージョンに速やかにアップデートすることが最も重要です。

  • Google Chrome: Windowsユーザーはバージョン114.0.5735.110以降、macOSおよびLinuxユーザーはバージョン114.0.5735.106以降にアップデートしてください。
  • Microsoft Edge: バージョン114.0.1823.41以降にアップデートしてください。
  • Brave: バージョン1.52.122以降にアップデートしてください。
  • Vivaldi: バージョン6.1.3035.32以降にアップデートしてください。

アップデート方法の例（Google Chromeの場合）: 1. ブラウザを開き、アドレスバーに chrome://settings/help と入力してアクセスします。 2. ブラウザが自動的に更新プログラムのチェックとダウンロードを開始します。 3. ダウンロードが完了したら、「再起動」ボタンをクリックしてブラウザを再起動し、アップデートを適用します。

4.2 暫定回避策（緩和策）

暫定的な回避策としては、以下が挙げられます。

  • 身に覚えのないブラウザ拡張機能がインストールされていないか確認し、発見した場合は削除してください。
  • 特定の状況でアクセスリクエストの流出が確認された場合、ブラウザのバージョンアップだけでは解消しない可能性があるため、ブラウザだけでなく、セキュリティソフト、プロキシサーバー、OSなどの脆弱性がないか確認し、適切に対応することが推奨されます。
  • CISA (Cybersecurity and Infrastructure Security Agency) は、ベンダーの指示に従って更新を適用し、緊急の変更として扱うことを推奨しています。
  • ゼロデイ攻撃の場合、攻撃のログや痕跡を調査し、潜在的な侵害を特定することが重要です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る