Google、Chromeブラウザの深刻なゼロデイ脆弱性に緊急パッチを提供開始

Googleは、同社のChromeブラウザで新たに発見されたゼロデイ脆弱性に対する修正プログラムの緊急リリースを進めています。これはわずか3か月の間に発見された3つ目のゼロデイ脆弱性です。今回の脆弱性はWindows、Mac、Linux向けのChromeに影響を及ぼし、ほぼすべてのOSバージョンが対象となるため、数百万規模のユーザーが影響を受ける可能性があります。

Google Chromeに影響する新たなゼロデイ脆弱性

今回のChromeの脆弱性は、Chromiumプロジェクトの一部であるオープンソースのブラウザレンダリングエンジン「Blink」に存在する「Use After Free(解放済みメモリの使用)」バグです。

Googleはこの問題を「CVE-2021-21193」として追跡しており、CVSS脆弱性評価スケールにおいて10点満点中8.8と評価されています。これは高深刻度の問題に分類されます。

「Use After Free」とは、プログラムがすでに解放されたメモリ領域にアクセスしようとする状態を指します。この種の脆弱性は、発生状況やタイミングによって、正規データの破損から任意のコード実行まで、幅広い問題を引き起こす可能性があります。

簡単に言えば、悪用されれば重大な被害につながりかねないということです。

その後、Googleは「Chrome Releases」ブログ上で、Chromeブラウザのアップデートを発表しました。

StableチャンネルはWindows、Mac、Linux向けにバージョン89.0.4389.90へ更新され、今後数日から数週間かけて順次展開されます。

ブログ記事では、このアップデートが潜在的に深刻な問題を修正するために必要であることが明記されています。また、重要なセキュリティパッチをユーザーへ十分に行き渡らせるまでの間、脆弱性の詳細は非公開とするとGoogleは説明しています。

バグの詳細や関連リンクへのアクセスは、大多数のユーザーが修正版へ更新されるまで制限される場合があります。また、他のプロジェクトも依存しているサードパーティライブラリに同じバグが存在し、まだ修正されていない場合にも、制限は維持されます。

この種の重大な脆弱性についてはよくあることですが、一般ユーザーが実際にこうした攻撃に遭遇する可能性は低いとされています。確かに危険な脆弱性ではあるものの、攻撃者がこれを悪用するには、被害者を悪意のあるウェブサイトへ誘導する必要があるためです。

Google Chromeのアップデートはいつ届く?

公式のChromeブログによると、アップデートはすでに配信が開始されており、今後数日以内に各システムへ届きます。Chromeのアップデート通知を見逃さないようにしましょう。アップデートが利用可能になった際にすぐインストールしない場合、ブラウザ右上の3本線の設定メニューアイコンが黄色に変わり、放置すると最終的に赤色に変わります。

ここ数か月、Googleにとっては多事多難の時期となっています。セキュリティ研究者だけでなく、Google自身もChromeブラウザの脆弱性を相次いで発見してきました。とはいえ、Googleは常に迅速に問題へ対処しており、Chromeが長期間脆弱な状態にさらされることはありません。