Googleは、Windows、macOS、Linux向けにChromeバージョン152をリリースし、緊急度「Critical」の10件を含む327件のセキュリティ脆弱性を修正しました。安定版(Stable)チャンネルのアップデートは、Linux向けにバージョン152.0.7977.64、Windowsおよび macOS向けにバージョン152.0.7977.64/.65として展開されています。
今回のアップデートでは、Chromeのグラフィックススタック、ブラウザインターフェース、JavaScriptエンジン、ネットワーキングコンポーネント、セーフブラウジング、WebRTC、Chromecast機能にまたがる、幅広いメモリ安全性、認可、入力検証、情報漏えいに関する問題が解決されており、重要な意味を持つ更新となっています。
Chrome 152で修正された「Critical」の脆弱性の大半は解放後使用(use-after-free)の問題に関連しています。これは、解放済みのメモリにソフトウェアがアクセスすることで発生するメモリ破損の一種です。
影響を受けるコンポーネントや悪用条件によっては、これらの脆弱性がクラッシュ、情報漏えい、任意のコード実行を引き起こす可能性があります。
中でも最も注目すべき外部報告の問題は、ANGLEにおける緊急度「Critical」の解放後使用(use-after-free)の脆弱性であるCVE-2026-79282です。ANGLEはChromeのグラフィックス変換レイヤーで、プラットフォームをまたいでグラフィックスAPI呼び出しを変換する役割を担っています。
ANGLEはウェブサイトから提供される複雑なグラフィックスコンテンツを処理するため、以前からブラウザにおける価値の高い攻撃対象領域とみなされてきました。Googleは、この脆弱性を報告した研究者のGoodluck氏に25,000ドルの報奨金を授与しています。
Chrome 152では、Aura、Chromecast、Views、セーフブラウジング、モバイル機能に関する「Critical」の問題も修正されています。今回のリリースには、Chromecastにおける不適切な入力検証の脆弱性や、モバイルコードに影響する未初期化変数使用の問題への修正が含まれます。
緊急度「High」の脆弱性は、信頼されていないウェブコンテンツにさらされる機会が多いコンポーネント、特にANGLE、V8、WebGL、WebRTC、Chromeサンドボックスに影響します。ANGLEについては、境界外読み取りおよび書き込み、バッファオーバーフロー、その他のメモリ破損の問題が修正されました。
グラフィックスレンダリングを担うコードは、ウェブサイトや広告に埋め込まれた攻撃者制御下のコンテンツを処理するため、これらの脆弱性は特に重要です。Googleはまた、V8(ChromeのJavaScriptおよびWebAssemblyエンジン)における緊急度「High」の型混同(type confusion)のバグも修正しました。
型混同は、プログラムがあるオブジェクトを誤って別のデータ型として解釈してしまうことで発生し、攻撃者が意図しない形でメモリを読み書きできる可能性があります。
V8の脆弱性は、悪意のある、あるいは侵害されたウェブページを通じてJavaScriptを直接配信できてしまうことから、セキュリティ研究者によって常時精査の対象となっています。
残りの緊急度「Medium」および「Low」の修正は、Chromeのネットワーキング、サイト分離(Site Isolation)、DevTools、Web認証、USB、WebXR、ファイル処理、拡張機能、Service Worker、権限、決済、メディア、DOM、GPU、Skia、WebView、およびエンタープライズ機能に関するものです。
Googleによると、大多数のChromeユーザーがアップデートを適用するまでの間、一部の脆弱性の詳細やバグへのリンクを制限するとのことです。これは、公開された技術情報が未パッチのシステムに対して悪用されるリスクを軽減するための標準的な対応です。
管理者は、管理下にあるWindow、macOS、Linuxの各エンドポイントに対し、できるだけ早くChrome 152を展開すべきです。ユーザーはchrome://settings/helpにアクセスすることで、インストール済みのブラウザバージョンを確認できます。これによりChromeのアップデートチェックが開始されます。パッチ適用済みバージョンを有効にするには再起動が必要です。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査を強化
翻訳元: https://cyberpress.org/google-chrome-152-patches-327-security-flaws/
