PoC Exploit Released for CVE-2024-7965 Zero-Day Chrome Vulnerability
2024/09/18 SecurityOnline — 先日に発見された Chrome V8 JavaScript エンジンのゼロデイ脆弱性 CVE-2024-7965 に対する、技術的な詳細と PoC エクスプロイトが公開された。BI.ZONE の専門家が分析したところ、この重大な欠陥は、特に Android スマートフォンと macOS ラップトップにとって、深刻な脅威になり得るという。
8月26日に Google は、この脆弱性に対する修正を取り込んだ、バージョン 128.0.6613.84 をリリースしたが、その僅か数日後に、すでに CVE-2024-7965 が悪用されていることを明らかにした。この脆弱性により、特別に細工された JavaScript をユーザーがロードすると、悪意の Web サイトへのアクセスが生じ、攻撃者による Chrome のブラウザ・レンダラーの制御が可能になるという。この脆弱性の CVSS スコアは 8.8 であり、Google は “High” に分類している。
この脆弱性 CVE-2024-7965 が、Chrome パスワード管理システムにおける use-after-free の脆弱性 CVE-2024-7964 と連鎖すると、さらに状況が複雑化する。これらの脆弱性が組み合わされることで、攻撃者はブラウザを完全に制御できるようになり、機密データであるパスワード／閲覧履歴／Cookie などにアクセスできるようになる。さらに懸念されるのは、悪用が成功すると、ブラウザ内でのユーザー アクティビティを密かに監視する、スパイウェアのインストールが可能になることだ。
Google は Chrome に対するパッチを公開しているが、この脅威は Chrome だけに留まらない。Microsoft Edge などの Chromium ベースのブラウザが、この問題の影響を受けることになる。
BI.ZONE の専門家たちの分析では、ARM アーキテクチャで動作するデバイスに、CVE-2024-7965 が影響することが発見された。そこに含まれるのは、2020年11月以降にリリースされた Apple masOS や、Android スマートフォンの全バージョンである。それにより、攻撃対象領域が大幅に拡大するため、これらのデバイスのユーザーにとって深刻な懸念事項となり得る。
この脆弱性は、JavaScript コード実行の最適化中に、値に対する不適切な処理が行われることに起因する。この欠陥により、攻撃者は正当なメモリ境界を超えて Read／Write を可能にする。その結果として、コード実行による乗っ取りが達成され、サイバー犯罪者によるシステムの完全な制御へと展開していく。
さらに恐ろしいことに、人気の Web サイトのサブドメインに存在する、一般的な XSS 脆弱性と組み合わせると、攻撃者はドメイン全体のセッション・データを盗むことが可能となる。たとえば、”my.domain.com” でのセッションが侵害されると、”domain.com” とサブドメインから機密情報が盗まれる可能性がある。その結果として生じるものには、機密データの漏洩からマルウェアのインストールにいたるまでの、多岐にわたる悪意のアクティビティがある。
脆弱性 CVE-2024-7965 の PoC エクスプロイト・コードが公開されたことで、スキルの低い攻撃者であっても、この脆弱性を悪用する可能性を得るため、脅威が増大している。
ユーザーに対して強く推奨されるのは、ブラウザを最新バージョンのブラウザへと直ちにアップデートし、潜在的な悪用を防ぐことである。
Chrome V8 JavaScript のゼロデイ脆弱性 CVE-2024-7965に対して、PoC エクスプロイトが提供されたとのことです。この脆弱性は、8月末に公開された直後に、CISA KEV にも登録されており、積極的な悪用が示唆されています。そこに PoC が登場し、さらに事態が悪化している状況です。ご注意ください。よろしければ、以下のリストに加えて、Chrome で検索も、ご利用ください。
2024/08/28：CISA KEV 警告：Chrome の CVE-2024-7965 を登録
2024/08/26：Chrome 脆弱性 CVE-2024-7965 ：悪用を確認
IoT OT Security News 
You must be logged in to post a comment.