Microsoft Edge のゼロデイCVE-2024-7971 が FIX：悪用が観測される Chromium 由来の RCE　

Urgent Edge Security Update: Microsoft Patches Zero-day & RCE Vulnerabilities

2024/08/23 SecurityOnline — Microsoft Edge の緊急セキュリティ・アップデートがリリースされ、現時点で脅威アクターたちに悪用されている、深刻な脆弱性を修正した。このゼロデイ脆弱性 CVE-2024-7971 は、Chromium の V8 JavaScript エンジン内に存在し、悪意を持って作成された HTML ページを介した、リモート・コード実行を許してしまうものである。

新たにリリースされた Microsoft Edge Stable バージョン 128.0.2739.42 は、Chromium バージョン 128.0.6613.85／128.0.6613.84 をベースにして、合計で 25件のセキュリティ脆弱性に対処している。それらの中の 20件は Chromium プロジェクトに由来するものだが、特に CVE-2024-7971 は、現実に悪用されているため最も緊急性が高い。

今回のアップデートでは、Chromium 系の修正に加えて、Microsoft Edge 固有の５件の脆弱性も解決されている。これらのうち２件である CVE-2024-38209／CVE-2024-38210 は、リモート・コード実行の可能性もあるため、CVSSv3.1 値 7.8 であり、Important に分類されている。

繰り返しになるが、脆弱性 CVE-2024-7971 は積極的に悪用されているため、Edge ユーザーにとって必要なことは、最新の更新プログラムを直ちにインストールすることである。この脆弱性を利用する攻撃者は、システムに不正アクセスし、データの窃取や、マルウェアのインストールを達成するだけではなく、システムの完全な乗っ取りの可能性を手にする。

すでに、Microsoft Edge Stable バージョン 128.0.2739.42 がリリースされている。したがって、ユーザーに対して強く推奨されるのは、可能な限り早急に更新プログラムを適用し、この脆弱性から身を守ることである。

この Chromium の脆弱性 CVE-2024-7971 は、2024/08/22 の「Google Chrome 128 の緊急アップデート：悪用されるゼロデイ CVE-2024-7971 を FIX」でお伝えしているように、Google Chrome にも影響を及ぼしています。今回の Edge アップデートのメインは、この脆弱性のようですが、他にも Edge 固有の脆弱性があり、それらにも対応しているとのことです。ご利用の方は、アップデートを お急ぎください。よろしければ、Edge で検索も、ご利用ください。