Googleは、Chrome安定版チャネルの新しいアップデートをリリースしました。今回の更新では、任意コード実行につながる可能性のある境界外書き込み（out-of-bounds write）や解放後使用（use-after-free）を含む、複数の深刻度の高いメモリ安全性の脆弱性が修正されています。
今回のアップデートにより、ChromeはWindowsおよびmacOS向けにバージョン150.0.7871.186/.187、Linux向けにバージョン150.0.7871.186へとアップグレードされます。展開は段階的に行われ、今後数日から数週間かけて順次ユーザーに提供される予定です。
今回のアップデートでは、いずれも深刻度「高」に分類される4件のセキュリティ問題が修正されており、主にChromeの主要コンポーネント全体にわたるメモリ破損の脆弱性が含まれています。
解放後使用の脆弱性は特に危険とされています。攻撃者が解放済みのメモリ領域を操作できてしまうためで、他の不具合と組み合わせることで、確実性の高い攻撃連鎖につながることが少なくありません。
Googleは今のところ実際の悪用を確認していないとしていますが、これらの脆弱性の性質を踏まえると、実際の攻撃シナリオにおけるリスクは高いと考えられます。
脅威アクターは、ブラウザにおけるメモリ破損の不具合を初期侵入経路として悪用することが多く、悪意のあるWebサイトやドライブバイダウンロードを通じた手口が特に一般的です。
例えば、攻撃者はBlink内で解放後使用の状態を引き起こすよう仕込んだ悪意のあるWebページを作成し、ヒープ破損を発生させたうえで、最終的にブラウザのコンテキスト内で任意のコードを実行させることが可能になります。
悪用のリスクを低減するため、Googleは大多数のユーザーがアップデートを適用するまでの間、詳細な不具合報告の公開を制限しています。これは悪用目的での兵器化を防ぐための標準的な対応です。
Googleのアドバイザリによると、ユーザーおよび組織に対し、直ちにChromeを最新バージョンへアップデートするよう強く推奨しています。企業においては、特に信頼できないWebコンテンツにさらされるシステムを中心に、管理下の環境全体でパッチ適用を優先的に進めるべきです。
セキュリティチームは、ブラウザの異常な挙動を監視するとともに、MITRE ATT&CKの戦術T1189（ドライブバイ・コンプロマイズ）などに沿った、ブラウザベースの悪用手法を対象とするエンドポイント検知ルールの導入も検討すべきです。
SOC調査の死角を減らすとともに、ANY.RUNを活用して脅威をより早期に封じ込め、対応コストと業務への影響を抑えましょう。
翻訳元: https://cyberpress.org/chrome-security-update-2/