Trusted Design

CVE-2023-6345 の詳細

CVEの情報

説明:
Integer overflow in Skia in Google Chrome prior to 119.0.6045.199 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a malicious file. (Chromium security severity: High)

CVE更新日: 2023-11-29 12:15:07.077000

CVSSバージョン: 3.1

CVSSスコア: 9.6

KEVの情報

KEV更新日: 2023-11-30

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.164680000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-6345に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

1.1 影響 本脆弱性は、Google Chrome、ChromeOS、Android、およびMicrosoft Edgeで使用される2DグラフィックスエンジンであるSkiaの脆弱性です。成功した場合、リモートの攻撃者は悪意のあるファイルを介して「サンドボックスエスケープ」を実行し、脆弱なデバイスを悪意のあるコードに感染させ、機密データを窃取する可能性があります。また、リモートコード実行 (RCE) も可能になります。

1.2 深刻度 深刻度は「Critical（緊急）」と評価されており、CVSSスコアは9.6です。 この脆弱性は、実際に悪用されていることが確認されており（ゼロデイ脆弱性）、CISAの既知の悪用されている脆弱性（KEV）カタログに登録されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン * Google Chrome: * Windows: バージョン 119.0.6045.199/.200 より前のもの * Mac/Linux: バージョン 119.0.6045.199 より前のもの * Microsoft Edge: * Stableチャンネル: バージョン 119.0.2151.97 より前のもの * Extended Stableチャンネル: バージョン 118.0.2088.122 より前のもの * ChromeOS * Android * Debian Linux: 11.0 および 12.0 * Fedora: 37, 38, および 39 * Microsoft Edge、Brave、Opera、Vivaldiなどの他のChromiumベースのブラウザも影響を受ける可能性があります。

2.2 影響を受ける設定 本脆弱性は、Skiaという2Dグラフィックスエンジンにおける整数オーバーフロー (CWE-190) に起因します。 整数演算が表現可能な最大値を超えると、結果が予期しない小さな値にラップアラウンドされることで発生します。これにより、Skiaのレンダリングパイプライン内で不正確なメモリ割り当てサイズやバッファ計算が引き起こされる可能性があります。 攻撃者は、この脆弱性を悪用するために、まずレンダラープロセスを侵害する必要があります。

3. 影響を受けた時の兆候

  • グラフィックコンテンツを処理する際の、ChromeまたはChromiumベースのブラウザの異常なクラッシュ。
  • ブラウザプロセスが、より高い権限で予期しない子プロセスを生成する。
  • Skia関連コンポーネントにおける異常なメモリアクセスパターンまたはセグメンテーション違反。
  • ブラウザプロセスが、通常のサンドボックス境界外のシステムリソースにアクセスしようとする。

4. 推奨対策

4.1 本対策 * Google Chrome: * Windowsユーザーはバージョン 119.0.6045.199/.200 以降に更新してください。 * Mac/Linuxユーザーはバージョン 119.0.6045.199 以降に更新してください。 * 更新は、Chromeメニューの「ヘルプ」-「Google Chromeについて」から確認し、指示があればブラウザを再起動することで実施できます。 * Microsoft Edge: * Stableチャンネルをバージョン 119.0.2151.97 以降に、Extended Stableチャンネルをバージョン 118.0.2088.122 以降に更新してください。 * ChromeOSおよびAndroid: パッチが適用されたバージョンに更新してください。 * CISA（米国土安全保障省サイバーセキュリティ・社会基盤安全保障庁）は、政府機関に対して2023年12月21日までにこの脆弱性を修正することを義務付けました。

4.2 暫定回避策（緩和策） * Lookoutは、脆弱なアプリバージョンがデバイス上にあることを検出するアプリケーション脆弱性ポリシーを有効にし、更新されるまでユーザーの仕事データへのアクセスをブロックするなど、深刻度を高く設定することを推奨しています。 * 悪用される可能性のあるフィッシングキャンペーンからモバイルユーザーを保護するために、Lookout Phishing & Content Protection (PCP) を有効にすることを推奨しています。 * モバイルデバイス管理（MDM）ソリューションは、この種の攻撃を直接検出できない場合があることに注意が必要です。 * 提示されている緩和策は、特定の脆弱性を完全に修正できない場合があります。

他に解説すべき観点

  • 技術的な詳細: この脆弱性は、SkiaのMeshOp::onCombineIfPossibleにおける整数オーバーフローです。 整数オーバーフローは、Skiaのレンダリングパイプライン内で不適切なメモリ割り当てやバッファ計算を引き起こす可能性があります。
  • 悪用状況: 本脆弱性は、GoogleのThreat Analysis Group (TAG) の研究者によって報告されており、スパイウェアやAPT活動との関連性が指摘されています。 通常、レンダラーの悪用とLPE（ローカル権限昇格）の悪用を組み合わせた攻撃チェーンの一部として悪用されます。
  • 関連CVE: 以前に悪用が確認されたSkiaの別の整数オーバーフローであるCVE-2023-2136と同様のものです。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る