Chrome – Page 2 – IoT OT Security News

FileFix の進化：Windows のブラウザ機能を悪用する Mark-of-the-Web 回避

FileFix Attack Exploits Windows Browser Features to Bypass Mark-of-the-Web Protection

2025/07/02 CyberSecurityNews — 2025年7月に出現した、洗練された新たなサイバー攻撃の亜種は、Chrome／Microsoft Edge の Web ページ保存機能に存在する、深刻な脆弱性を悪用するものだ。この、FileFix 2.0 と呼ばれる攻撃は、ブラウザの正規保存メカニズムと、HTML Application (HTA) 実行を組み合わせることで、Windows の Mark of the Web (MOTW) セキュリティ機能を回避するものだ。

Chrome が試行する Web ページのポッドキャスト化：AI Audio Overviews のコンセプトと現状

Google Chrome May Soon Turn Webpages Into Podcasts With AI Audio Overviews

2025/07/01 CyberSecurityNews — Google が発表したのは、Android 版 Google Chrome において、ユーザーによるオンライン・コンテンツの利用方法を一変させる可能性を持つ、メジャー・アップグレードに関する予定である。Chrome で進行しているのは、”AI Audio Overviews” と呼ばれる新機能のテストである。この機能は、あらゆる Web ページをポッドキャスト形式の音声要約へと変換し、外出先でのユーザーに対しても、アクセスし易く魅力的なコンテンツを提供するものだ。

Chrome のゼロデイ脆弱性 CVE-2025-6554 が FIX：すでに活発な悪用を観測

Chrome 0-Day Vulnerability Exploited in the Wild to Execute Arbitrary Code – Patch Now

2025/07/01 CyberSecurityNews — Google がリリースしたのは、Chrome ブラウザの深刻なゼロデイ脆弱性に対処するための、緊急セキュリティ・アップデートである。この脆弱性 CVE-2025-6554 (深刻度 High) は、すでに悪用が確認されている。この脆弱性は、Chrome の V8 JavaScript エンジンにおけるタイプ・コンフュージョンに起因する。この脆弱性の悪用に成功した攻撃者は、影響を受けるシステム上で任意のコード実行の可能性を手にする。

Chrome 138 アップデート：悪意のコード実行につながる 11件の脆弱性を修正

Chrome Security Update: Patch for 11 Vulnerabilities Enabling Malicious Code Execution

2025/06/25 CyberSecurityNews — Google が公表したのは、Chrome に存在する 11 件の脆弱性を修正する、重要なセキュリティ・アップデートのリリースであり、それらの欠陥の中には、ユーザーのシステム上での悪意のコード実行を引き起こす可能性を持つものも含まれるという。2025年6月24日 (火) に発表された、Chrome 138.0.7204.49 ステイブル・チャネル・アップデートは、高度なサイバー脅威への防御力を強化し続ける、Chrome ブラウザ・セキュリティにおける重要なマイルストーンとなるものだ。

Microsoft Family Safety のアップデートが引き起こした問題：すべての Chrome をブロック

Microsoft Family Safety Blocking All the Version of Chrome Browsers

2025/06/23 CyberSecurityNews — 先日の Microsoft Family Safety アップデートにより、すべての Google Chrome バージョンにおいて、想定外のブロックが発生している。それにより、Windows デバイスのペアレンタル・コントロール機能を使用している、教育機関や家庭に大きな影響が生じている。この問題が発生したのは、2025年6月3日であり、Chrome のアップデートが公表されたタイミングと一致している。しかし、このブロック・メカニズムは、旧バージョン／現行バージョンを問わず、無差別に影響を与えている。

Google Chrome の脆弱性 CVE-2025-6191／6192 が FIX：任意のコード実行の可能性

Google Chrome Vulnerabilities Enable Arbitrary Code Execution – Update Now!

2025/06/18 gbhackers — Google が公表したのは、Chrome ブラウザの重要なセキュリティ・アップデートのリリースに関する情報である。このアップデートは、深刻度の高い複数の脆弱性に対処するものであり、それらを悪用する攻撃者は、影響を受けるシステム上で任意のコード実行の可能性を手にするという。Windows／Mac 用にはバージョン 137.0.7151.119／.120 が、Linux 用にはバージョン 137.0.7151.119 が提供されている。このアップデートは、すべてのユーザーに強く推奨されるものであり、また、新たな脅威からデバイスを保護するために不可欠なものである。

Chrome のゼロデイ脆弱性 CVE-2025-2783：APT グループ Team46 による積極的な悪用を観測

Hackers Exploiting Chrome Zero‑Day Vulnerability in the Wild

2025/06/17 gbhackers — Google Chrome に新たに発見されたゼロデイ脆弱性 CVE-2025-2783 が、高度なサイバー・スパイ活動において、ハッカーたちにより積極的に悪用されている。セキュリティ研究者は、この脆弱性を悪用する標的型攻撃の急増を確認しており、攻撃元については APT グループ Team46 (別名 TaxOff) だとしている。

Chrome／Firefox の深刻な脆弱性４件が FIX：情報漏洩／リモート・コード実行などの恐れ

Chrome, Firefox Updates Resolve High-Severity Memory Bugs

2025/06/11 SecurityWeek — 6月10日 (火) にリリースされた Chrome 137 と Firefox 139 のアップデートでは、それぞれ２件ずつ、合計で４件の、深刻度の高いメモリ・バグが修正されている。Chrome のアップデートでは、Media における解放後メモリ使用の脆弱性 CVE-2025-5958 と、V8 JavaScript エンジンのタイプ・コンヒュージョンの脆弱性 CVE-2025-5959 が修正されている。どちらも、外部の研究者により報告されたものである。

CISA KEV 警告 25/06/05：Google Chromium V8 の CVE-2025-5419 を登録

U.S. CISA adds Google Chromium V8 flaw to its Known Exploited Vulnerabilities catalog

2025/06/06 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Google Chromium V8 に存在する境界外 Read/Write の脆弱性 CVE-2025-5419 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。先日に Google は、Chrome ブラウザの３つの脆弱性を修正する、定例外アップデートをリリースしたが、そこに含まれる CVE-2025-5419 は、現時点で悪用されている欠陥である。

人気の Chrome エクステンション群に深刻な問題：HTTP 平文通信や API キー漏洩など

2025/06/05 TheHackerNews — Chrome エクステンション群の中に、HTTP 経由でデータを平文送信し、ソースコード内に秘密情報をハードコーディングする複数の製品が存在し、深刻なプライバシー／セキュリティ・リスクにユーザーが直面していることを、サイバー・セキュリティの研究者が警告している。Symantec のセキュリティ研究者 Yuanjing Guo は、「広く使用されている複数のエクステンションが、意図せず単純な HTTP 経由で機密データを送信している。それにより、ブラウジング・ドメイン／マシン ID／オペレーティング・システムの詳細／使用状況の分析／アンインストール情報などが平文で送信されている」と指摘している。

Google Chrome の脆弱性 CVE-2025-5419／5068／2783 が FIX：悪用も確認

Google fixed the second actively exploited Chrome zero-day since the start of the year

2025/06/03 SecurityAffairs — Google が発表したのは、Chrome ブラウザに存在する３件の脆弱性に対処するための、緊急アップデートのリリースである。そのうちの CVE-2025-5419 は、すでに実際の攻撃での悪用が確認されている。この脆弱性は、以前の Google Chrome に搭載されていた、V8 JavaScript エンジンにおける境界外 Read/Write の欠陥である。この脆弱性を悪用する攻撃者は、細工された HTML ページを介して、ヒープ破損を引き起こす可能性を手にする。

Google から Chunghwa Telecom と Netlock に通知：Chrome の認証局リストから排除

Google Chrome to distrust Chunghwa Telecom, Netlock certificates in August

2025/06/02 BleepingComputer — Google が発表したのは、繰り返されるコンプライアンス違反と改善の遅れを理由に、Chrome Root Store に置かれる Chunghwa Telecom と Netlock の署名付きルート CA 証明書を、今後は信頼しないという声明である。この変更は、2025年8月1日にリリースが予定される、Google Chrome のバージョン 139 で適用されるという。今回の措置の理由として Google が挙げるのは、継続的なコンプライアンス違反、改善コミット・メントの不履行、そして目に見える進捗の欠如にある。

Chrome Extension ユーザーが標的：100+ の悪意のエクステンションと Web サイトを準備するキャンペーン

100+ Fake Chrome Extensions Found Hijacking Sessions, Stealing Credentials, Injecting Ads

2025/05/20 TheHackerNews — 2024年2月以降において、正体不明の脅威アクターが作成した悪意の Chrome エクステンション群は、無害に見えるユーティリティを装いながら、データの窃取／コマンドの受信／任意コードの実行といった機能を隠し持っている。

CISA KEV 警告 25/05/15：Chrome／SAP／DrayTek Router の脆弱性を登録

CISA Flags Actively Exploited Vulnerabilities in Chrome, SAP, and DrayTek Routers

2025/05/16 SecurityOnline — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、実環境での悪用が確認されたことを受け、以下の３件の脆弱性を Known Exploited Vulnerabilities (KEV) カタログに登録した。

CVE-2024-12987：DrayTek ルーターのコマンド・インジェクション脆弱性
CVE-2025-4664：Chrome におけるクロス・オリジン・ポリシー違反の脆弱性
CVE-2025-42999： SAP NetWeaver のデシリアライゼーション脆弱性

Google Chrome のアップデート：ゼロデイ脆弱性 CVE-2025-4664 などが FIX

Google Chrome Zero-Day Vulnerability (CVE-2025-4664) Actively Exploited in The Wild

2025/05/15 gbhackers — Chrome の Stable チャネルで公表されたのは、Windows／Mac のバージョン 136.0.7103.113/.114 と、Linux のバージョン 136.0.7103.113 へのアップデートに関する情報である。このアップデートは、今後の数日から数週かけてユーザーに公開され、世界中のユーザーが最新の機能強化を利用できるようになる。

Gemini Nano vs. テック・サポート詐欺：Chrome の新機能で即時検出

Google Chrome to use on-device AI to detect tech support scams

2025/05/09 BleepingComputer — Google が発表したのは、組み込みの LLM である Gemini Nano を活用する、新しい Chrome セキュリティ機能の実装である。その機能はというと、Web の閲覧中にテクニカル・サポート詐欺を検出／阻止するものだ。テクニカル・サポート詐欺とは、悪意の Web サイトでユーザーを欺き、その PC にウイルス感染やシステム不具合が生じていると見せかける手口である。それらの悪意の警告は、フルスクリーンのブラウザ・ウィンドウやポップアップとして表示され、ユーザーの操作を妨げる特徴がある。

Chrome の脆弱性 CVE-2025-4096 などが FIX：任意のコード実行とシステム制御奪取の可能性

Chrome Update Fixes High-Severity Security Flaw (CVE-2025-4096)

2025/04/30 SecurityOnline — Chrome チームが公表したのは、Windows／Mac／Linux 向けのバージョン 136 を提供する、最新のステイブル・チャネル・アップデートのリリースである。このアップデートでは、通常どおりに内部的な改善が施されているが、注目すべきは、同梱されている８つの重要なセキュリティ修正である。

Chrome の解放後メモリ使用の脆弱性：新たな MiraclePtr 防御メカニズムで撃退

Chrome UAF Process Vulnerabilities Actively Exploited

2025/04/25 gbhackers — Google Chrome ブラウザ・プロセスに存在する、２つの深刻な解放後メモリ使用 (UAF) 脆弱性が実際に悪用され、サンドボックス・エスケープや任意のコード実行の危険が生じていることが、セキュリティ研究者たちにより明らかにされた。その一方で Google は、MiraclePtr 防御メカニズムを導入しており、これらの脆弱性の悪用の道が閉ざされるという、ブラウザ・セキュリティにおける重要なマイルストーンが達成された。

Chrome の深刻な脆弱性 CVE-2025-3066 が FIX：“Use After Free” の恐れ

Chrome Update Fixes High-Severity “Use After Free” Vulnerability

2025/04/09 SecurityOnline — Chrome の Stable チャネルで公表されたのは、Windows／Mac のバージョン 135.0.7049.84/.85 と、Linux のバージョン 135.0.7049.84 へのアップデートに関する情報である。このアップデートは、今後の数日から数週かけて、ユーザーに公開される予定だという。この最新リリースには、深刻度の高い脆弱性への対処に重点を置いた、重要なセキュリティ修正が取り込まれている。

Chrome 135 がリリース：CVE-2025-3066 などを含む 14件の脆弱性に対処

Chrome 135: 14 Security Fixes, High-Severity CVE-2025-3066 Flaw Patched

2025/04/02 SecurityOnline — Google Chrome チームは、Windows／macOS／Linux の Stable チャネルで Chrome 135 を正式にリリースし、数十億人のユーザーに対して、セキュリティ強化／バグ修正／コード改善などを提供している。このアップデートには、14 件のセキュリティ修正が取り込まれているが、その一部は、外部の研究者たちにより特定されたものだ。

CISA KEV 警告 25/03/27：Chromium Mojo の CVE-2025-2783 を登録

U.S. CISA adds Google Chromium Mojo flaw to its Known Exploited Vulnerabilities catalog

2025/03/27 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Google Chromium Mojo のサンドボックス・エスケープ脆弱性 CVE-2025-2783 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。

Firefox のサンドボックス・エスケープの脆弱性 CVE-2025-2857 が FIX：Chrome の問題に類似？

Mozilla warns Windows users of critical Firefox sandbox escape flaw

2025/03/27 BleepingComputer — Mozilla がリリースした Firefox 136.0.4 は、Windows システム上の Web ブラウザのサンドボックスにおいて、攻撃者にエスケープを許す深刻なセキュリティ欠陥を修正するものだ。Mozilla 開発者の Andrew McCreight は、「この脆弱性 CVE-2025-2857 は、誤ったハンドルによるサンドボックス・エスケープの可能性を示すものだ」と説明している。

Chromium Mojo の脆弱性 CVE-2025-2783 が FIX：ロシア標的の攻撃で積極的に悪用

Google fixed the first actively exploited Chrome zero-day since the start of the year

2025/03/26 SecurityAffairs — Google が公表したのは、Windows 版 Chrome ブラウザに存在する、深刻度の高い out-of-band の脆弱性 CVE-2025-2783 に対処する修正のリリースである。この脆弱性は、ロシアの組織を標的とする攻撃で、積極的に悪用されていたという。

Chrome の５件の脆弱性が FIX：メモリ破損や任意のコード実行にいたる恐れ

Chrome Update: 5 Security Fixes, High-Risk Flaws Addressed ASAP

2025/03/10 SecurityOnline — Chrome Stable チャンネル向けに重要なセキュリティ・アップデートがリリースされ、５つの脆弱性が深刻な修正されたが、その中の３つは、攻撃者が任意のコード実行を許す可能性を持つものだ。Windows／Mac／Linux の Chrome ユーザーに強く推奨されるのは、このブラウザの速やかな更新である。

Chrome エクステンションに新たな脅威：ポリモーフィック手法で機密情報を盗み出す

New Polymorphic Chrome extensions fake others to steal your data

2025/03/10 ghacks — Chrome の最初のバージョンがリリースされてから、17 年ほどが経つが、その間に私たちが目にしてきたものに、悪意のエクステンションがある。そのラインナップには、偽の VPN エクステンションから、洗練されたセッション・リプレイ・マルウェア・エクステンションにいたるまで、あらゆるものが揃っている。そして、この記事で説明するのは、ポリモーフィック・エクステンションと呼ばれる、新しい悪意の拡張機能のことだが、それが、いま、ユーザーを攻撃するために使用されている。

Google Chrome の深刻な脆弱性 CVE-2025-1914 などが FIX：V8 JavaScript の欠陥など

Chrome 134 Update Addresses High-Risk Vulnerability (CVE-2025-1914)

2025/03/04 SecurityOnline — Google が公表したのは、Chrome Desktop 版のアップデートであり、Windows 向けのバージョン 134.0.6998.35/36、Mac 向けのバージョン 134.0.6998.44/45 および、Linux 向けのバージョン 134.0.6998.35 のリリースである。このアップデートでは、14件のセキュリティ脆弱性が修正され、その中には V8 JavaScript エンジンにおける脆弱性も含まれている。すでにアップデートは展開され、今後の数日から数週の間に各ユーザーの手元に届くという。

Firefox における Manifest V2 のサポート継続：Chrome とは異なる道を進んでいく

Firefox continues Manifest V2 support as Chrome disables MV2 ad-blockers

2025/02/25 BleepingComputer — Mozilla の新たな約束は、Manifest V3 と並行した Manifest V2 エクステンションのサポートの継続であり、ブラウザ上での自由な選択をユーザーに提供するものである。

Chrome の４つの深刻な脆弱性が FIX：ブラウザ・コンテキストでの悪意のコード挿入などの恐れ

Chrome Patches Four High-Severity Vulnerabilities in Latest Stable Channel Update

2025/02/12 SecurityOnline — Google が公表したのは、Chrome Desktop 版のアップデートであり、Windows／Mac 向けのバージョン 133.0.6943.98/.99、および、Linux 向けのバージョン 133.0.6943.98 のリリースである。このアップデートでは、深刻度の高いセキュリティ脆弱性４件が修正されている。それらの脆弱性の一部が攻撃者に悪用されると、任意のコード実行／機密データへの不正アクセスの機会が生じるとされる。すべてのユーザーに対して強く推奨されるのは、速やかに Chrome を更新し、自分自身を守ることだ。

ValleyRAT マルウェアの新種を検出：感染ベクターは偽の Chrome ダウンロード

New ValleyRAT Malware Variant Spreading via Fake Chrome Downloads

2025/02/04 HackRead — ValleyRAT マルウェアの新しいバージョンが、Morphisec Threat Lab のサイバーセキュリティ研究者たちにより発見された。ValleyRAT は、悪名高い Silver Fox APT グループに関連する多段階のマルウェアであり、フィッシング・メール／インスタント・メッセージ／侵害済み Web サイトなどの、さまざまなチャネルを通じて配布されている。

Google Chrome の深刻な脆弱性 CVE-2025-0444／0445 などが FIX：use-after-free に対処

Google Fixes High-Severity Chrome Vulnerabilities (CVE-2025-0444 & CVE-2025-0445)

2025/02/04 SecurityOnline — Chrome チームは、Windows／Mac／Linux の Stable チャネルにバージョン 133 をリリースした。このリリースでは、重要なセキュリティ修正 12件を取り込むかたちで、一連のバグに対する更新が提供されている。

Google Chrome の脆弱性 CVE-2025-0611／0612 が FIX：ただちにパッチを！

Security Update for Chrome: Protect Against CVE-2025-0611 and CVE-2025-0612

2025/01/22 SecurityOnline — Google が公表したのは、Chrome Web ブラウザにおける、重要なセキュリティ・アップデートのリリース情報である。このアップデートは、３つの脆弱性に対処するものだが、そのうち２つは深刻度 High と評価されている。ユーザーに推奨されるのは、最新バージョン (132.0.6834.110/111) へと、Chrome を速やかに更新することだ。

Chrome の深刻な脆弱性 CVE-2025-0291 が FIX：ただちにアップデートを！

Chrome Update Addresses High-Severity Vulnerability: CVE-2025-0291

2025/01/07 SecurityOnline — Google が公表したのは、Chrome Web ブラウザの重要なセキュリティ・アップデートのリリースに関する情報である。このアップデートは、深刻度の高い JavaScript エンジン V8 のタイプ・コンヒュージョンの脆弱性 CVE-2025-0291 に対処するものであり、放置すると攻撃にさらされる可能性が生じるという。今後の数日間に、このアップデートは、Windows／Mac／Linux ユーザーに展開される。

Chrome Extension の危機：16種類の拡張機能をハックするキャンペーンが発覚

16 Chrome Extensions Hacked, Exposing Over 600,000 Users to Data Theft

2024/12/29 TheHackerNews — Chrome ブラウザのエクステンションを標的にする、新たな攻撃キャンペーンが発見された。この攻撃では、少なくとも 16 個のエクステンションが侵害され、60万人以上のユーザーが、データ漏洩や認証情報窃取の危険に直面する状況となっている。この攻撃は、Chrome Web Store のブラウザ・エクステンションの発行者を、フィッシング・キャンペーンの標的として侵害し、そのアクセス権限を悪用することで正規のエクステンションに悪意のコードを挿入し、ユーザーのクッキーやアクセス・トークンを盗み出すものだ。最初に被害を受けたエクステンション発行者は、サイバー・セキュリティ企業 Cyberhaven である。

Cyberhaven で発生した侵害：改竄された Chrome エクステンションが Web ストアに流出

Cyberhaven Chrome Extension Compromised in Targeted Attack

2024/12/26 SecurityOnline — 2024年12月24日に、データ保護企業である Cyberhaven の Chrome エクステンションが、標的型攻撃により改ざんされた。同社の声明によると、攻撃者は Cyberhaven の従業員アカウントに不正アクセスし、 Cyberhaven Chrome エクステンションの悪意のバージョン (24.10.4) を、Chrome Web ストアで公開したという。

Google Chrome の複数の脆弱性が FIX：V8 JavaScript エンジンなどに深刻な問題

High-Severity Vulnerabilities Fixed in Latest Chrome Release

2024/12/18 SecurityOnline — Google が公表したのは、Chrome ブラウザに存在する５件の脆弱性に対処するための、重要なアップデートのリリースである。それらの脆弱性のうちのいくつかは、深刻度が “High” と評価されている。ユーザーに対して推奨されるのは、可能な限り早急に、最新の Stable チャネル・バージョンである、Windows／Mac 用の 131.0.6778.204/.205 および、Linux 用の 131.0.6778.204 へとアップデートすることだ。

Google Chrome の脆弱性 CVE-2024-12381／12382 が FIX：ただちにパッチを！

Google Chrome Patches High-Severity Vulnerabilities – CVE-2024-12381 & CVE-2024-12382

2024/12/10 SecurityOnline — Google が発表したのは、Chrome ブラウザの最新 Stable チャンネルにおけるアップデートである。今回のアップデートでは、複数のセキュリティ欠陥が修正されているが、その中には、深刻度 “High” に分類される２件の脆弱性も含まれる。このアップデートは、今後の数日から数週間をかけて、Windows／Mac／Linux ユーザーに展開されるという。それぞれの Chrome のバージョンだが、Windows／Mac 版は 131.0.6778.139/.140 であり、Linux 版は 131.0.6778.139 である。

Google Chrome の脆弱性 CVE-2024-12053 が FIX：直ちにアップデートを！

Google Chrome Addresses High-Severity Flaw in V8 JavaScript Engine (CVE-2024-12053)

2024/12/03 SecurityOnline — Google がリリースしたのは、V8 JavaScript エンジンに存在する、深刻なタイプ・コンフュージョンの脆弱性 CVE-2024-12053 を緩和する、Chrome ブラウザ向けのセキュリティ・アップデートである。この脆弱性の悪用に成功した攻撃者は、ユーザーのシステム上で任意のコードを実行し、セキュリティおよびプライバシーを侵害する可能性を得る。

Google は Chrome 事業を売却すべきだ：米司法省が唱える反トラスト訴訟とは？

DOJ Proposes Breaking Up Google: Calls for Sale of Chrome Browser

2024/11/21 HackRead — Google に対する反トラスト訴訟において DOJ は、Chromeブラウザの売却および、検索処理の制限、そして、独占を制限するための事業再編などの、厳しい提案を行っている。米国司法省 (DOJ) は、Google に対する反トラスト訴訟の一環として、同社の事業構造とインターネットにおける役割を完全に変えると思われる、きわめて大きな変革を提案している。

Google Chrome 131 の脆弱性 CVE-2024-11395 が FIX：ただちにアップデートを！

Google Chrome Patches High-Severity Flaw CVE-2024-11395 in Latest Stable Release

2024/11/19 SecurityOnline — Google がリリースした、デスクトップ向け Chrome ブラウザの最新 Stable バージョンは、３件のセキュリティ脆弱性に対処するものだ。そのうちの１件は、High の評価を受けている。今回のアップデートは、Windows／Mac 向けのバージョン 131.0.6778.85/.86 と、Linux 向けのバージョン 131.0.6778.85 であり、今後の数日から数週間かけてユーザーに公開されていく。

Chrome 131 の複数の深刻な脆弱性が FIX：ただちにアップデートを！

Chrome 131 Rolls Out with Security Fixes and Performance Enhancements

2024/11/13 SecurityOnline — Google は Chrome 131 のアップデートを発表し、複数の脆弱性に対するパッチを適用したが、その中には深刻度 High に分類されるものも含まれる。Windows／Mac 向けバージョン 131.0.6778.69／.70 と、Linux 向けバージョン 131.0.6778.69 のアップデート版が、数日から数週の間にリリースされる予定だという。

JavaScript Drive-By Attacks：Chrome の脆弱性に依存しない新種の PoC エクスプロイト

JavaScript Drive-By Attacks: New Exploits without 0-Day in Google Chrome

2024/11/11 SecurityOnline — Chrome のゼロデイ脆弱性を悪用を必要とせずに、ユーザーを攻撃する新たな手法が、Imperva Threat Research のセキュリティ研究者である Ron Masas により発見された。この手法は、ユーザーが許可した場合に、Web サイトがローカル・ファイルの読み書きを可能にする、File System Access API を悪用するものだ。この API は Windows／macOS のセキュリティ機構をバイパスするため、不正なコード実行の防止において OS の Gatekeeper 機能を用いる macOS ユーザーにとって、深刻な懸念事項となると Ron Masas は指摘している。

Google Chrome の緊急アップデート：脆弱性 CVE-2024-10826／10827 を FIX

Google Chrome Patches Two High-Severity Vulnerabilities: Update Now!

2024/11/05 securityonline — Google がリリースした Chrome のアップデートは、脆弱性 CVE-2024-10826／CVE-2024-10827 を修正するものであり、それらは攻撃者に悪用される可能性があるという。ユーザーに対して強く推奨されるのは、Windows／Mac バージョンの 130.0.6723.116／117、および、Linux バージョンの 130.0.6723.116 へと、ただちにアップデートすることである。

LastPass ユーザーを狙うソーシャル・エンジニアリング：Chrome Web Store のフェイク・レビューに要注意

Warning: LastPass Alerts Users to Phishing Scam Using Fake Support Reviews on Chrome Web Store

2024/11/05 SecurityOnline — パスワード管理プラットフォーム LastPass が発した警告は、Chrome Web Store アプリ・ページでの偽のレビューを通じて、ユーザー・ベースを狙うソーシャル・エンジニアリング・キャンペーンに関するものである。この新たな攻撃は、脅威アクターが偽のレビューを送信してユーザーを欺き、不正なサポート番号へと電話をかけさせ、機密情報を危険にさらす可能性があるものだ。

Google Chrome の緊急アップデート：脆弱性 CVE-2024-10487／10488 を FIX

New Chrome Security Patch Targets Critical CVE-2024-10487 & 10488 Flaws – Update Immediately

2024/10/29 SecurityOnline — Google がリリースした Chrome の緊急アップデートは、ユーザー・システムの制御が攻撃者に奪われる可能性のある、２つの深刻なセキュリティ脆弱性に対処するものである。これらの脆弱性 CVE-2024-10487／CVE-2024-10488 は、Windows／Mac／Linux の各プラットフォーム上の、Chrome に影響を与えるものだ。

Chrome の App-Bound Encryption がクラックされた：OSS のツールが GitHub で提供

Chrome’s App-Bound Encryption Cracked: Open-Source Tool Bypasses Security Measure

2024/10/27 SecurityOnline — Chrome の App-Bound Encryption で保護されたキーの復号を、新しくリリースされたオープンソース・ツールが成功させたことで、このセキュリティ機能の長期的な有効性について懸念が高まっている。Google Chrome のバージョン 127 で導入された App-Bound Encryption (ABE) は、復号機能を特定のアプリケーションにリンクすることで、ユーザーのセキュリティを強化することを目的としている。それにより、Cookie／パスワード／支払い情報などの機密データへの、悪意のプログラムによるアクセスを防止している。

Chrome 130 の３件の深刻な脆弱性が FIX：ただちにアップデートを！

Chrome Patches Multi Vulnerabilities in Latest Stable Release

2024/10/23 SecurityOnline — Google は Chrome 130 のアップデートを発表し、３件の脆弱性に対するパッチを適用した。Windows と Mac 向けバージョン 130.0.6723.69／70 と、Linux 向けバージョン 130.0.6723.69 のアップデート版が、数日から数週の間にリリースされる予定だという。

Google Meet アラートを偽装：ClickFix 攻撃によるマルウェア配信が蔓延

ClickFix Attack: Fake Google Meet Alerts Install Malware on Windows, macOS

2024/10/17 HackRead — 人気のビデオ会議プラットフォームである、Google Meet のユーザーを標的とするサイバー攻撃が増加していることを、Sekoia のサイバー・セキュリティ研究者たちが検出している。この攻撃では、”ClickFix” 呼ばれる戦術が使用されている。この戦術は 2024年5月に登場したものであり、Google Chrome／Google Meet／Facebook などの正当なサービスを装うことで、ユーザーを騙してマルウェアをダウンロードさせるものだ。

Chrome 129 の４件の深刻な脆弱性が FIX：ただちにアップデートを！

Chrome Releases Stable Channel Update Addressing High Security Vulnerabilities

2024/10/03 SecurityOnline — Chrome 129 の Stable Channel アップデートが行われ、Windows／Mac 用バージョン 129.0.6668.89/.90 と、Linux 用バージョン 129.0.6668.89 が提供されている。このアップデートは、今後の数日から数週間をかけて展開される予定であり、セキュリティにおける重要な強化と修正が行われる。

Google の Rust プログラミングへの移行：Android のメモリ脆弱性が 68%も減少

Google’s Shift to Rust Programming Cuts Android Memory Vulnerabilities by 68%

2024/09/25 TheHackerNews — Google が Secure-By-Design のアプローチの一環として、メモリセーフ言語 Rust などへの移行が Google で推進された結果として、Android で発見されるメモリの安全性に関する脆弱性の割合が、６年間で 76%から 24%へと減少したという。セーフ・コーディングに重点を置いた新機能の開発により、コードベースのセキュリティ・リスク全体が低減されるだけではなく、スケーラブルで費用対効果の高い開発スタイルが達成されると、同社は述べている。