Trusted DesignCVE-2023-4762 の詳細
CVEの情報
説明:
Type Confusion in V8 in Google Chrome prior to 116.0.5845.179 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High)
CVE更新日: 2023-09-05 22:15:09.677000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2024-02-06
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.413750000
EPSS更新日: 2026-10-19 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2023-4762は、Google ChromeのV8 JavaScriptエンジンにおける深刻な脆弱性です。以下にその詳細を解説します。
1. 脆弱性の概要
CVE-2023-4762は、V8 JavaScriptエンジンに存在する型混同（Type Confusion）の脆弱性です。Google Chromeがポインタ、オブジェクト、または変数などのリソースをある型で割り当てるか初期化するものの、その後に元の型と互換性のない型でそのリソースにアクセスすることで発生します。これにより論理エラーが引き起こされ、境界外メモリへのアクセスにつながる可能性があります。 攻撃者は、巧妙に細工されたHTMLページを閲覧させることで、この脆弱性を悪用し、リモートで任意のコードを実行する可能性があります。
1.1 影響 この脆弱性が悪用されると、リモートの攻撃者が任意のコードを実行できるようになります（RCE: Remote Code Execution）。 境界外メモリの読み取りを通じて、攻撃者はメモリアドレスなどの機密情報を取得し、ASLR（Address Space Layout Randomization）のような防御メカニズムを迂回して、任意のコード実行を伴う別の脆弱性の悪用をより確実にする可能性があります。
この脆弱性は、他の脆弱性（CVE-2023-41991, CVE-2023-41992, CVE-2023-41993）と組み合わされたエクスプロイトチェーンの一部として、AndroidおよびiOSデバイスに「Predator」スパイウェアを密かにインストールするために使用されたと報告されています。これにより、証明書の検証のバイパス、特権昇格、およびリモートコード実行が可能になります。 結果として、機密性、完全性、可用性に対して高い影響があります。
1.2 深刻度 * CVSS v3.1 基本スコア: 8.8 (High/Critical) * 攻撃経路：ネットワーク * 攻撃の複雑さ：低 * 必要な特権：なし * ユーザーインタラクション：必要 * 機密性への影響：高 * 完全性への影響：高 * 可用性への影響：高 * Chromiumセキュリティ深刻度: 高 * CISAリスク: 深刻（既知の悪用されている脆弱性：Known Exploited Vulnerability） * EPSSスコア: 41.081%（2026年9月7日時点、99パーセンタイル）で、30日以内に悪用される可能性が高いことを示しています。
2. 対象となる環境
2.1 影響を受けるOSバージョン 以下のバージョンより前のGoogle ChromeおよびChromiumベースのブラウザが影響を受けます。 * Google Chrome バージョン 116.0.5845.179 未満 (Windows, macOS, Linux, iOS, Android, ChromeOS) * Microsoft Edge (Chromiumベース) バージョン 116.0.1938.76 未満 * Brave, Falkon, Bromite, Blisk, Epic, Opera, Vivaldiなど、他のChromiumベースのブラウザも影響を受ける可能性があります。
特定のOSディストリビューションも影響を受けます。 * Debian Linux バージョン 11.0, 12.0 * Fedora バージョン 37, 38, 39 * Gentoo * Ubuntuの
chromium-browserパッケージは、バージョン 23.10 (mantic), 23.04 (lunar), 22.04 LTS (jammy) では影響を受けないとされています。2.2 影響を受ける設定 本脆弱性は、悪意を持って細工されたHTMLページを閲覧することでトリガーされます。 したがって、JavaScriptの実行とHTMLレンダリングを許可するブラウザのデフォルト設定が、悪用の十分な条件となります。特定の「影響を受ける設定」は報告されていません。
3. 影響を受けた時の兆候
この脆弱性の悪用により、「Predator」スパイウェアがインストールされたという報告があります。 ただし、このCVEに特化した技術的な侵害の兆候（Indicators of Compromise: IOCs）については、提供された情報からは詳細が不明です。一般的に、スパイウェアや任意のコード実行による侵害の兆候としては、不審なシステム動作、予期しないプログラムのインストール、著しいパフォーマンスの低下、未知の宛先へのネットワークアクティビティの増加などが考えられますが、これらは本CVEに直接関連する具体的な兆候としては明記されていません。
4. 推奨対策
4.1 本対策 * Google Chrome: 最新バージョン、または少なくともバージョン 116.0.5845.179 以降にアップデートしてください。 * Microsoft Edge (Chromiumベース): 最新バージョン、または少なくともバージョン 116.0.1938.76 以降にアップデートしてください。 * その他の影響を受けるChromiumベースのブラウザも、利用可能な最新バージョンにアップグレードすることを推奨します。 * CISAは、ベンダーの指示に従って緩和策を適用するか、緩和策が利用できない場合は製品の使用を中止するよう勧告しています。 * この脆弱性およびそれ以降に発見される脆弱性に対処するため、常に製品の最新バージョンにアップグレードすることが推奨されます。
4.2 暫定回避策（緩和策） 暫定的な緩和策は、パッチが利用できない場合や、すぐに適用できない場合にのみ慎重に適用すべきであり、脆弱性を完全に修復しない可能性や、必要な機能を阻害する可能性があるため、注意が必要です。 この脆弱性に対する具体的な暫定回避策については、提供された情報からは不明です。
他に解説すべき観点
参照したサイト