Chrome の脆弱性 CVE-2024-5274 の PoC が公開：すでに悪用が確認されている

CVE-2024-5274: Chrome Zero-Day Exploited by APT29, PoC Exploit Published

2024/08/30 SecurityOnline — Google Chrome のゼロデイ脆弱性 CVE-2024-5274 (CVSS 8.8) の技術的な詳細と PoC エクスプロイト・コードが公開され、世界中へとリスクが拡大する可能性が出てきた。この脆弱性は、Chrome の V8 JavaScript エンジンにおけるタイプ・コンフュージョンの欠陥だと説明されている。この脆弱性の悪用に成功した攻撃者は、悪意のコード実行を達成し、さまざまなサイバー攻撃にいたる可能性が生じる。

タイプ・コンフュージョンの脆弱性は、プログラムが処理するデータ・タイプ誤認され、別のデータ・タイプと衝突することで発生するものであり、クラッシュやデータ破損に加えて、攻撃者による任意のコード実行につながる可能性がある。

2024年5月の時点で、Google は CVE-2024-5274 に対するパッチを提供しているが、潜在的な悪用を防ぐために、欠陥に関する技術的な詳細は伏せられてきた。しかし、研究者である @mistymntncop と @buptsb が、CVE-2024-5274 の PoC エクスプロイト・コードと技術解析を、Chromium コミュニティと GitHub に公開したことで状況が一変した。

PoC エクスプロイト・コードの公開は諸刃の剣である。セキュリティ研究者や管理者にとっては、脆弱性を深く研究するための、また、防御策を開発するための貴重なリソースとなる。しかし、その一方では、脆弱性の悪用ステップを攻撃者に提供し、潜在的な脆弱性を能動的な脅威に変えてしまうという危険性も生じる。

Google が明らかにしたのは、ロシア国家に支援されるハッキング・グループ APT29 が、脆弱性 CVE-2024-5274を積極的に悪用していることである。このグループは、洗練されたサイバー・スパイ・キャンペーンで知られており、この脆弱性を 2024年7月の時点で悪用し、侵害した Web サイト mga.gov[.]mn を訪れる Android ユーザーを標的としていた。この攻撃は、広範なキャンペーンの一部であり、Google Chrome の別の脆弱性 CVE-2024-4671 も悪用されていた。

興味深いことに、APT29 が悪用した脆弱性 CVE-2024-5274 のエクスプロイトは、2024年5月のゼロデイ攻撃用に NSO グループが開発した、エクスプロイトの修正版のようだ。その一方で、脆弱性 CVE-2024-4671 のエクスプロイトは、以前に Intellexa が採用したものと驚くほど類似しており、APT (advanced persistent threats) 戦術の進化が示唆される。

すでに Google は Chrome Stable チャネルで、Windows／Mac 用のバージョン 125.0.6422.112/.113 と、Linux 用のバージョン 125.0.6422.112 をリリースし、この脆弱性に対応している。潜在的な攻撃から身を守るためには、Chrome を直ちにアップデートすることが極めて重要である。

このところ、Chrome のゼロデイ脆弱性の悪用が多い感じがします。しかも、悪用へといたる時間が、大きく短縮されています。つまり、脅威アクターが注力している標的であり、それなりの成果があるからだと推測できます。アップデート情報に注意して、可能な限り早急に対応することが推奨されます。よろしければ、Chrome で検索も、ご利用ください。