Chrome、Firefoxのアップデートで数十件の脆弱性を修正

GoogleとMozillaは火曜日、複数のクリティカル・高深刻度の脆弱性に対応する最新のChromeおよびFirefoxセキュリティアップデートを発表しました。

Firefox 154は安定版チャネルでリリースされ、58件のCVEに対するパッチが適用されました。このうち20件は高深刻度の脆弱性で、そのおよそ半数はコード実行に悪用され得るメモリ安全性の不具合です。

修正された高深刻度の問題には、解放後使用（use-after-free）の欠陥が6件、権限昇格の脆弱性が6件、情報漏えいの不具合が2件、サンドボックスエスケープの脆弱性が1件、サイト分離の問題が1件、緩和策バイパスの脆弱性が1件含まれます。

Mozillaのアドバイザリによると、今回のアップデートでは社内で発見された複数の不具合も修正されています。これらはメモリ破損やその他のセキュリティ関連の欠陥につながる可能性があり、悪用され得るものでした。これらには合わせて3件のCVEが割り当てられています。

Mozillaは火曜日、Thunderbird 154のリリースも発表しました。こちらは55件の脆弱性に対するパッチが適用されています。また、Firefox ESR 115.39、Firefox ESR 140.14、Firefox ESR 153.1、Thunderbird 140.14、Thunderbird 153.1も、これらのセキュリティ上の欠陥の多くを修正した形でリリースされています。

Googleは、WebGLとDawnにおける2件のクリティカル深刻度のバッファオーバーフローの不具合を含む、15件の脆弱性を解消する最新のChrome 151アップデートをリリースしました。

残る13件の不具合は高深刻度で、不適切な実装、リンクフォロー、競合状態（レースコンディション）、不正な参照解決、解放後使用、未初期化リソースの使用、バッファオーバーフロー、不正な計算、情報漏えい、型の取り違え（type confusion）といった問題です。

Googleによると、これらのセキュリティ上の欠陥のうち11件は自社で発見したものであり、残る4件は外部の研究者が発見・報告したものです。同社は、支払われるバグ報奨金の額についてはまだ公表していません。

最新のChromeリリースは現在、Windows・macOS向けにはバージョン151.0.7922.169/.170として、Linux向けにはバージョン151.0.7922.169として、ユーザーへの展開が進められています。