Chromium – IoT OT Security News

Chromium の脆弱性 Brash：悪意の URL をクリックするだけで発動する強力な攻撃とは？

New “Brash” Exploit Crashes Chromium Browsers Instantly with a Single Malicious URL

2025/10/30 TheHackerNews — Chromium の Blink レンダリング・エンジンで発見された深刻な脆弱性が悪用されると、多くの Chromium ベースのブラウザが短時間でクラッシュするという。この脆弱性の詳細は、セキュリティ研究者である Jose Pino により発見／報告されたものであり、Brash というコードネームが付けられている。この研究者は、「特定の DOM (Document Object Model) 操作の管理方法において、アーキテクチャ上の欠陥を悪用することで、あらゆる Chromium ブラウザが 15～60 秒でクラッシュする可能性がある」と述べている。

Chrome／Chromium のゼロデイ脆弱性 CVE-2025-6558 が FIX：積極的な悪用は APT の仕業？

Urgent: Google Releases Critical Chrome Update for CVE-2025-6558 Exploit Active in the Wild

2025/07/16 TheHackerNews — 2025年7月15日 (火) に Google が発表したのは、Chrome Web ブラウザに存在する、６件のセキュリティ問題に対する修正であり、そのうち１件は既に悪用されていると述べている。この、深刻度の高い脆弱性は CVE-2025-6558 (CVSS：8.8) は、ANGLE／GPU コンポーネントにおける、信頼できない入力への不十分な検証に分類されるものだ。

Google Chrome のアップデート：ゼロデイ脆弱性 CVE-2025-4664 などが FIX

Google Chrome Zero-Day Vulnerability (CVE-2025-4664) Actively Exploited in The Wild

2025/05/15 gbhackers — Chrome の Stable チャネルで公表されたのは、Windows／Mac のバージョン 136.0.7103.113/.114 と、Linux のバージョン 136.0.7103.113 へのアップデートに関する情報である。このアップデートは、今後の数日から数週かけてユーザーに公開され、世界中のユーザーが最新の機能強化を利用できるようになる。

Chrome 135 がリリース：CVE-2025-3066 などを含む 14件の脆弱性に対処

Chrome 135: 14 Security Fixes, High-Severity CVE-2025-3066 Flaw Patched

2025/04/02 SecurityOnline — Google Chrome チームは、Windows／macOS／Linux の Stable チャネルで Chrome 135 を正式にリリースし、数十億人のユーザーに対して、セキュリティ強化／バグ修正／コード改善などを提供している。このアップデートには、14 件のセキュリティ修正が取り込まれているが、その一部は、外部の研究者たちにより特定されたものだ。

CISA KEV 警告 25/03/27：Chromium Mojo の CVE-2025-2783 を登録

U.S. CISA adds Google Chromium Mojo flaw to its Known Exploited Vulnerabilities catalog

2025/03/27 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Google Chromium Mojo のサンドボックス・エスケープ脆弱性 CVE-2025-2783 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。

Firefox のサンドボックス・エスケープの脆弱性 CVE-2025-2857 が FIX：Chrome の問題に類似？

Mozilla warns Windows users of critical Firefox sandbox escape flaw

2025/03/27 BleepingComputer — Mozilla がリリースした Firefox 136.0.4 は、Windows システム上の Web ブラウザのサンドボックスにおいて、攻撃者にエスケープを許す深刻なセキュリティ欠陥を修正するものだ。Mozilla 開発者の Andrew McCreight は、「この脆弱性 CVE-2025-2857 は、誤ったハンドルによるサンドボックス・エスケープの可能性を示すものだ」と説明している。

Chromium Mojo の脆弱性 CVE-2025-2783 が FIX：ロシア標的の攻撃で積極的に悪用

Google fixed the first actively exploited Chrome zero-day since the start of the year

2025/03/26 SecurityAffairs — Google が公表したのは、Windows 版 Chrome ブラウザに存在する、深刻度の高い out-of-band の脆弱性 CVE-2025-2783 に対処する修正のリリースである。この脆弱性は、ロシアの組織を標的とする攻撃で、積極的に悪用されていたという。

FreeType Font Library の脆弱性 CVE-2025-27363 が FIX：Linux／Mobile／Browser で悪用の可能性

CVE-2025-27363: Font Library FreeType Flaw Exploited in the Wild, Millions at Risk

2025/03/11 SecurityOnline — 広く使用されている FreeType フォント・レンダリング・ライブラリに、深刻な脆弱性 CVE-2025-27363 (CVSS：8.1) が発見された。この脆弱性は、FreeType バージョン 2.13.0 以下に影響を及ぼし、数百万台のデバイスをリモート・コード実行のリスクにさらす可能性があるという。

Microsoft Publish API の公開：Edge エクステンションのセキュリティを強化

Microsoft overhauls security for publishing Edge extensions

2024/09/30 BleepingComputer — Microsoft が発表したのは、Edge エクステンションのセキュリティを強化するための、Publish API の導入である。それにより、開発者アカウントとブラウザ・エクステンションの更新に関するセキュリティが強化される。Microsoft Edge エクステンションの開発者にとっては、新たに作成したプロダクトを初めて公開する際に、Partner Center を介して提出することが必要となる。そして、承認されると、Partner Center または Publish API から更新を行えるようになる。

Chrome V8 JavaScript のゼロデイ脆弱性 CVE-2024-7965：PoC エクスプロイトが提供

PoC Exploit Released for CVE-2024-7965 Zero-Day Chrome Vulnerability

2024/09/18 SecurityOnline — 先日に発見された Chrome V8 JavaScript エンジンのゼロデイ脆弱性 CVE-2024-7965 に対する、技術的な詳細と PoC エクスプロイトが公開された。BI.ZONE の専門家が分析したところ、この重大な欠陥は、特に Android スマートフォンと macOS ラップトップにとって、深刻な脅威になり得るという。

Google Chrome 129 の緊急アップデート：CVE-2024-8904 など９つの脆弱性を FIX

Chrome 129 Patches High-Severity Vulnerability in V8 Engine

2024/09/18 SecurityWeek — Google は 9月17日に Chrome 129 のアップデートを発表し、外部から報告された６件を含む、９件の脆弱性に対するパッチを適用した。外部から報告された脆弱性の中で最も深刻なものは、深刻度 High に分類されている、V8 JavaScript エンジンにおけるタイプ・コンフュージョン脆弱性 CVE-2024-8904 だ。

CISA KEV 警告 24/08/28：Google Chrome の脆弱性 CVE-2024-7965 を登録

U.S. CISA adds Google Chromium V8 bug to its Known Exploited Vulnerabilities catalog

2024/08/28 SecurityAffairs — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Google Chromium V8 における不適切な実装の脆弱性 CVE-2024-7965 (CVSS：8.8) を、KEV (Known Exploited Vulnerabilities) カタログに追加した。その一方で Google は、活発に悪用されている Chrome のゼロデイ脆弱性 CVE-2024-7965 などに対処するセキュリティ・アップデートを、8月21日にリリースしている。

Google Chrome ゼロデイ脆弱性 CVE-2024-7965 が FIX：悪用が確認されている

Google tags a tenth Chrome zero-day as exploited this year

2024/08/26 BleepingComputer — Google は、10番目のゼロデイ脆弱性 CVE-2024-7965 に対して、パッチを適用したことを明らかにした。この脆弱性は、2024年のハッキング・コンテストにおいて、セキュリティ研究者たちにより悪用の可能性が証明されている。脆弱性 CVE-2024-7965 は、Google Chrome の V8 JavaScript エンジンの不適切な実装として説明されており、リモートの攻撃者が細工された HTML ページを介して、ヒープ破壊を達成する可能性があるという。セキュリティ研究者 TheDog により報告された、この脆弱性だが、すでにパッチが適用されている。

Microsoft Edge のゼロデイCVE-2024-7971 が FIX：悪用が観測される Chromium 由来の RCE　

Urgent Edge Security Update: Microsoft Patches Zero-day & RCE Vulnerabilities

2024/08/23 SecurityOnline — Microsoft Edge の緊急セキュリティ・アップデートがリリースされ、現時点で脅威アクターたちに悪用されている、深刻な脆弱性を修正した。このゼロデイ脆弱性 CVE-2024-7971 は、Chromium の V8 JavaScript エンジン内に存在し、悪意を持って作成された HTML ページを介した、リモート・コード実行を許してしまうものである。

Web ブラウザの脆弱性 0.0.0.0 Day：18年前から MacOS／Linux に影響を与えていた？

0.0.0.0 Day: 18-Year-Old Browser Vulnerability Impacts MacOS and Linux Devices

2024/08/08 TheHackerNews — 悪意の Web サイトが全ての主要な Web ブラウザに影響を与える、新しい脆弱性 “0.0.0.0 Day” が、サイバーセキュリティ研究者たちにより発見された。この脆弱性には、ローカル・ネットワークへの侵入に悪用さえる可能性のあるという。Oligo Security の研究者である Avi Lumelsky は、この脆弱性について、「ブラウザがネットワーク・リクエストを処理する方法における、根本的な欠陥を露呈している。この脆弱性の悪用に成功した攻撃者は、ローカル・デバイス上で実行されている、機密性の高いサービスにアクセスする可能性を得る」と述べている。

W3C が Google のクッキー廃止の停滞を非難：プライバシーが侵害される？

W3C Slams Google’s Cookie Reversal: Privacy at Risk?

2024/07/30 SecurityOnline — 先日に Google が発表したのは、Chrome におけるサードパーティ・クッキーの段階的な廃止は、もう行わないというものだ。この決定が意味するのは、従来の方法で広告ネットワークが、Web サイトを横断してユーザーを追跡し、センシティブなユーザー情報の収集を行い、ユーザーのプライバシー保護にとって有害な状況を継続するこということだ。それに対して、業界標準化団体である W3C (World Wide Web Consortium) は、Google の決定を強く非難する公開書簡を発表した。Google の動きは、サードパーティ・クッキーを排除しようとする、業界全体の努力を損なうものだと、W3C は考えている。

CISA／FBI などの共同勧告：多くの OSS プロジェクトで Memory Unsafe 言語が使用されている

CISA: Most critical open source projects not using memory safe code

2024/06/26 BleepingComputer — 6月26日に米国の CISA が公開したレポートは、メモリ欠陥の影響の受けやすさについて、172件の主要オープンソース・プロジェクトを調べた結果をまとめたものだ。CISA／FBI／ASD (Australian Signals Directorate)／ACSC (Australian Cyber Security Centre)／CCCS (Canadian Centre for Cyber Security) によるレポートは、2023年12月に発表された “Case for Memory Safe Roadmaps” に続くものであり、メモリ・セーフなコードの重要性に対する、認識を高めることを目的としている。

Fickle Stealer という新たな情報スティーラー：PowerShell を介した UAC バイパスとデータ流出を達成

New Rust-based Fickle Malware Uses PowerShell for UAC Bypass and Data Exfiltration

2024/06/20 TheHackerNews — Fickle Stealer という Rust ベースの新しい情報窃取マルウェアが、複数の攻撃チェーンを介して配信されて、侵害したホストから機密情報を採取している。Fortinet FortiGuard Labs によると、VBA ドロッパー／VBA ダウンローダー／リンク・ダウンローダー、実行型ファイル・ダウンローダーという４種類の配布形態が確認されており、その中には PowerShell スクリプトを使用して、ユーザー・アカウント制御 (UAC：User Account Control) をバイパスし、Fickle Stealer を実行するものもあるという。

Google Chrome の脆弱性 CVE-2024-5274 が FIX：脅威度は High

Google Discovers Fourth Zero-Day in Less Than a Month

2024/05/25 DarkReading — Google は、Chrome に存在する深刻度の高いセキュリティ上の脆弱性 CVE-2024-5274 に関するアップデートを公開した。CVE-2024-5274 は、V8 JavaScript／WebAssembly エンジンにおけるタイプ・コンフュージョンの脆弱性であり、その脅威度は High に分類されている。

Pwn2Own で発見されたゼロデイ脆弱性７件：なぜ Microsoft は放置する？

Microsoft Has Yet to Patch 7 Pwn2Own Zero-Days

2024/05/17 DarkReading — Pwn2Own 2024 Vancouver で明らかにされた、７種類の特権昇格の Windows 脆弱性だが、２ヶ月が経過した現在も、Microsoft による対処が行われていない。５月の Patch Tuesday では、活発に悪用されている CVE-2024-30051／CVE-2024-30040 などを含む、全体で 60件ほどの脆弱性が修正されている。しかし、Apple や Google などとは異なり、この３月にホワイト・ハッカーたちが証明した多数のバグに、依然として Microsoft はパッチを適用していない。

Google Chrome の脆弱性 CVE-2024-4761 が FIX：野放し状態での悪用を確認

CVE-2024-4761: Zero-Day Vulnerability Patched in Google Chrome

2024/05/13 SecurityOnline —Google Chrome に存在する、深刻度の高いゼロデイ脆弱性が対処された。脆弱性 CVE-2024-4761 は、Chrome の JavaScript エンジン V8 で発見された、Out of Bounds Write の欠陥に起因するものだ。この重大なセキュリティ問題は、匿名の研究者により発見／報告され、最新のブラウザが直面する継続的な脅威が浮き彫りにされた。

Microsoft Edge のゼロデイ CVE-2024-4671 などが FIX：野放し状態での悪用を観測

Microsoft Edge Zero-Day Vulnerability Patched: Urgent Update Needed

2024/05/13 SecurityOnline — すべての Microsoft Edge ユーザーに対して、サイバー・セキュリティ専門家たちが呼びかけているのは、5月10日にリリースされた最新のセキュリティ更新プログラムを、直ちにインストールすることだ。この重要な更新プログラムが対処しているのは、野放し状態で悪用されている、ゼロデイ欠陥 CVE-2024-4671 などの、複数の脆弱性である。

Google Chrome の複数の脆弱性が FIX：CVE-2024-4058 は Critical の評価

Google Patches Critical Chrome Vulnerability

2024/04/24 SecurityWeek — 4月22日 (月) に Google が発表したのは、深刻な４件の脆弱性を含むセキュリティホールを修正する、Chrome 124 へのアップデートである。その中で、最も深刻な脆弱性である CVE-2024-4058 は、ANGLE グラフィックス・レイヤー・エンジンに存在する、タイプ・コンヒュージョンのバグだと説明されている。この脆弱性は、リモートからの悪用と、限られたユーザー操作による任意のコード実行、サンドボックス・エスケープの可能性を生じるため、深刻度 Critical と評価されている。

Google が Chrome に搭載する V8 Sandbox：Web ブラウザのメモリ破損に対する最適解とは？

Google Chrome Adds V8 Sandbox – A New Defense Against Browser Attacks

2024/04/08 TheHackerNews — Google が発表したのは、Chrome におけるメモリ破壊問題に対処するために、この Web ブラウザで V8 Sandbox という名の機能をサポートすることだ。V8 Security Technical Lead である Samuel GroB によると、このサンドボックスにより、V8 におけるメモリ破損のホスト・プロセス内での拡大が防止されるとのことだ。Google は V8 Sandbox について、JavaScript と WebAssembly エンジンのための、軽量化されたプロセス内サンドボックスだと説明しており、一般的な V8 の脆弱性を軽減するように設計したと言っている。

SAP の March 2024 Security Patch Day：CVE-2019-10744 などの 10件の脆弱性を修正

SAP Security Patch Day: CVE-2024-22127 – Critical Vulnerability Demand Immediate Action

2024/03/12 securityonline — エンタープライズ・ソフトウェアのリーダーである SAP は、March 2024 Security Patch Day の一環として、広く使用されている製品群に存在する、複数の脆弱性に対処するパッチ一式をリリースした。リストのトップは、コード・インジェクションの脆弱性を修正した、脅威度が高い３つの “Hot News” セキュリティ・ノートである。これらの脆弱性が悪用されると、攻撃者に、影響を受けたシステムを完全に侵害される可能性がある。

SAP の February 2024 Security Patch Day：CVE-2024-22131 などの 16件の脆弱性を修正

CVE-2024-22131 (CVSS 9.1): Critical flaws affect SAP products

2024/02/13 SecurityOnline — ドイツのソフトウェア大手である SAP は、2024年2 月の Security Patch Day をリリースし、合計で 13 件の新規セキュリティ・ノートと、３件の更新セキュリティ・ノートを公開した。これらのパッチは、SAP システムに依存している企業に重大なリスクをもたらす２つの脆弱性を含む、さまざまな脆弱性に対処している。

Chrome のゼロデイ脆弱性 CVE-2022-4262：詳細な情報と PoC エクスプロイトが公開された

Google Chrome Zero-Day PoC Code Released

2024/02/11 SecurityOnline — Google Chrome に影響を及ぼすゼロデイ脆弱性 CVE-2022-4262 (CVSS 8.8) の、PoC (Proof-of-Concept) エクスプロイト・コードと技術的詳細が公開された。この脆弱性の核心は、Chrome ブラウザを動かす重要なコンポーネントである、Chrome V8 JavaScript エンジンにある。この深刻度の高い、タイプ・コンフュージョンの脆弱性は、Google TAG (Threat Analysis Group) の Clement Lecigne により明らかにされた。タイプ・コンフュージョンの脆弱性とは、ソフトウェアが渡されたオブジェクト・タイプを検証できない場合に発生し、予測不可能な動作を引き起こすものだ。

CISA KEV 警告 24/02/06：Google Chrome の脆弱性 CVE-2023-4762 の悪用を確認

CISA warns of a patched Chrome flaw now exploited in attacks

2024/02/07 SecurityOnline — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、広く使用されている Google Chrome Web ブラウザに存在し、積極的に悪用されるセキュリティ脆弱性に関して警告を発した。この脆弱性 CVE-2023-4762 の悪用に成功した攻撃者は、リモートから任意のコード実行を可能にし、ユーザーに深刻なリスクをもたらす。その影響として甚大な被害が予測されるため、個人および組織のユーザーは緊急の対応を迫られている。

Microsoft Edge の脆弱性 CVE-2024-21399 が FIX：リモートコード実行の可能性

Escaping the Sandbox: CVE-2024-21399 Microsoft Edge RCE Vulnerability

2024/02/04 SecurityOnline — Microsoft Edge のセキュリティ・アップデートがリリースされ、複数の脆弱性が修正された。Chromium に起因する Chrome の脆弱性は、Mac／Linux 向けのバージョン121.0.6167.139 および、Windows 向けの 121.0.6167.139/140 で対処されてきたが、それに続くかたちで、Microsoft Edge のバージョン 121.0.2277.98 が発表された。

Microsoft Edge の脆弱性 CVE-2024-21326 などが FIX：直ちにアップデートを！

CVE-2024-21326 (CVSS 9.6): One Click Could Compromise Microsoft Edge

2024/01/28 SecurityOnline — Microsoft Edge のセキュリティ・アップデートがリリースされ、Chromium の脆弱性に対する独自の修正プログラムの実装が完了した。Microsoft が公開したのは、Google Chromium 121.0.6167.85／.86 をベースにした、MS Edge 121.0.2277.83 である。

Google Chrome の脆弱性 CVE-2024-0517：PoC エクスプロイトが公開

Experts Reveal Details and PoC on Chrome CVE-2024-0517 RCE Flaw

2024/01/21 SecurityOnline — 先日にパッチが適用された Google Chrome のセキュリティ脆弱性 CVE-2024-0517 に関する、技術的な詳細と PoC が公開された。この脆弱性 CVE-2024-0517 は、Chrome の JavaScript エンジンである V8 の境界外書き込みの欠陥に起因するものであり、Qrious Secure のセキュリティ研究者 Toan (suto) Pham に発見された後の 2024年1月に、Google によりパッチが適用されている。

CISA KEV 警告 24/01/02：Google Chromium／Spreadsheet::ParseExcel の２件の脆弱性を追加

CISA Warns of Active Exploitation of Chromium and Spreadsheet::ParseExcel

2024/01/02 SecurityOnline — 米国 CISA (Cybersecurity and Infrastructure Security Agency) は、サイバー脅威との継続的な戦いを強調する、重大な警告を発した。同庁は、2024年1月2日に２つの深刻な脆弱性を KEV (Known Exploited Vulnerabilities：既知の脆弱性) カタログに追加し、ユーザーと連邦政府機関に早急な対策の必要性を警告している。

Google Chrome ゼロデイ脆弱性 CVE-2023-7024 が FIX：WebRTC フレームワークの欠陥

Google fixes 8th Chrome zero-day exploited in attacks this year

2023/12/20 BleepingComputer — Google Chrome のゼロデイ脆弱性を修正するための、緊急アップデートが公開された。Google は、「脆弱性 CVE-2023-7024 が、野放し状態で悪用されていることを認識している」と述べている。このゼロデイバグが Google に報告された翌日に、世界中の Stable Desktop チャンネル・ユーザー向けに修正版が提供された。Windows 版の 120.0.6099.129/130 と、Mac／Linux 版の120.0.6099.129 が、パッチ適用済のバージョンである。

Chrome の新機能 IP Protection：IP アドレスのマスキングでユーザーのプライバシーを強化

Google Chrome’s new “IP Protection” will hide users’ IP addresses

2023/10/22 BleepingComputer — Google がテストを進めている、Chrome の新機能 “IP Protection” は、プロキシ・サーバを用いて IP アドレスをマスキングし、ユーザーのプライバシーを強化するものだ。機密情報の追跡のために、IP アドレスが悪用される可能性について、Google は認識している、そして、ユーザーのプライバシー確保と、Web の本質的な機能との間で、バランスを取ろうとしている。

Google Chrome のゼロデイ CVE-2023-4863 が FIX：エクスプロイトの存在を確認

Google fixes another Chrome zero-day bug exploited in attacks

2023/09/11 BleepingComputer — Google Chrome 緊急セキュリティ・アップデートを公開された。それにより、今年に入ってから攻撃で悪用された、４番目のゼロデイ脆弱性が修正されている。Google は、CVE-2023-4863 のエクスプロイトが存在することを認識しているという。現時点において、この新バージョンは Stable／Extended stable チャンネルのユーザーに配布されており、今後の数日から数週間かけて、すべてのユーザーに配布されるようだ。

Chrome エクステンションによる平文パスワードの窃取：大量の Web サイトが脆弱な状態

Chrome extensions can steal plaintext passwords from websites

2023/09/02 BleepingComputer — Chrome Web Store にアップロードされた PoC エクステンションは、Web サイトのソースコードから平文のパスワードを盗むためのものであり、ウィスコンシン大学マディソン校の研究チームが作成したものである。Web ブラウザのテキスト入力フィールドを調査した結果として、Chrome エクステンションを支える粗視化 (coarse-grained) 許可モデルが、最小特権と完全仲介の原則に違反していることが明らかになったという。さらに研究者たちは、Google や Cloudflare のポータルなど含む多数の Web サイトにおいて、数百万人のビジターたちが、Web ページの HTML ソースコード内にパスワードを平文で保存していることを発見した。そして、それらの情報の不正な取得が、悪意のエクステンションを介して可能なことが判明した。

Web ブラウザ・エクステンションの問題：その半数以上が高リスクであるという調査結果

More Than Half of Browser Extensions Pose Security Risks

2023/08/23 DarkReading — Google Workspace や Microsoft 365 などの SaaS (Software-as-a-Service) アプリを使用する際に、企業が従業員に使用を許可しているブラウザ・エクステンションの多くは、機密度の高いコンテンツへのアクセスが可能である。したがって、コンプライアンスやデータ保護において、リスクを抱えていることが、新たな調査で明らかになった。 Spin.AI の研究者たちは、企業環境で使用されている、約 30万件の Web ブラウザ・エクステンションとサードパーティ OAuth アプリについて、リスク評価を実施した。その対象は、Google Chrome や Microsoft Edge といった、複数のブラウザにまたがる Chromium ベースのブラウザ・エクステンションである。

Google Chrome Check for Extension：マル・エクステンションを判定してくれる

Google Chrome to warn when installed extensions are malware

2023/08/20 BleepingComputer — Google がテストしている Chrome の新機能は、インストールされたエクステンションが Chrome Web Store から削除された場合に、ユーザーに警告を表示するためのものである。Chrome Web Store では、問題のあるエクステンションなどが次々と公開され、ポップアップ広告やリダイレクト広告を介して宣伝されている。これらのエクステンションは、詐欺師や脅威アクターにより作成され、不要な広告の挿入／検索履歴の追跡／アフィリエイト・ページへのリダイレクトなどを行い、さらに深刻なケースでは、Gmail や Facebook のアカウント窃盗などにも悪用される。

Rilide という最凶の Chrome エクステンション：PowerPoint ファイルなどがルアー

Chrome malware Rilide targets enterprise users via PowerPoint guides

2023/08/03 BleepingComputer — Rilide Stealer という悪意の Chrome エクステンションが、暗号ユーザーや企業従業員を標的とした新たなキャンペーンにおいて、認証情報や暗号ウォレットの窃取に使用されている。Rilide は、Chrome／Edge／Brave／Opera などの Chromium ベースのブラウザ用の悪意のブラウザ・エクステンションであり、Trustwave SpiderLabs が 2023年4月に発見したものだ。Rilide は正規の Google Drive エクステンションを装いブラウザをハイジャックし、すべてのユーザー活動を監視し、メール・アカウントの認証情報や暗号通貨資産などの情報を盗み出すという。

Google が提案する WEI API：大反対する Vivaldi／Brave／Firefox などの言い分は？

Browser developers push back on Google’s “web DRM” WEI API

2023/07/29 BleepingComputer — Google が Chrome に対して、WEI (Web Environment Integrity) API を導入するという計画は、ユーザーの自由を制限し、オープン Web の基本原則を損なうものだと、インターネット・ソフトウェア開発者から激しい反発を受けている。Vivaldi／Brave／Firefox の従業員たちは、この Google が提案する標準に対して強い反対の姿勢を示しており、Web サイトの DRM (デジタル著作権管理) とまで言う人もいる。

Brave Browser の新機能：ローカル・リソース制限でプライバシー保護を強化

Brave Browser boosts privacy with new local resources restrictions

2023/06/28 BleepingComputer — Brave の開発チームは、そのプライバシー重視のブラウザに対して、新しい制限コントロールを近々導入すると発表した。この新機能により、ローカル・ネットワーク・リソースにアクセスできるサイトの期間を、ユーザーが設定できるようになる。ローカルにホストされたリソースには、ユーザーのデバイス上において、Web プログラムが使用する画像やファイルが含まれる。その他のローカル・リソースには、NAS インスタンス／ローカルにホストされたサーバ／共有ネットワーク・プリンター・ファイル／共有ネットワーク・デバイス／共有コンピューター・データなどがある。

Google Chrome と脆弱性：この Web ブラウザは安全に使えるのか？

Chrome and Its Vulnerabilities – Is the Web Browser Safe to Use?

2023/06/21 SecurityWeek — 多くの主要なアプリケーションと同様に、Google Chrome も、その脆弱性に悩まされている。2022年に SecurityWeek が報告した Chrome の脆弱性は、456件 (１ヶ月あたり 38件) にのぼるが、その中には９件のゼロデイも含まれる。パッチが必要な脆弱性の多い Chrome は、はたして安全なのだろうかという、素朴な疑問を投げかける。

Mystic Stealer という新種のマルウェア：40 の Web ブラウザと 70 のエクステンションが標的

New Mystic Stealer Malware Targets 40 Web Browsers and 70 Browser Extensions

2023/06/19 TheHackerNews — Mystic Stealer と呼ばれる新たな情報窃取マルウェアが、約40種類の Web ブラウザと70種類以上の Web ブラウザ・エクステンションから、データを窃取できることが判明した。2023年4月25日に、このマルウェアは、月額 $150 という価格で発売されていたが、そこで採用されるメカニズムは、暗号通貨ウォレット／Steam／Telegram などを標的にするものであり、分析にも抵抗するという。InQuest と Zscaler の研究者たちは、「そのコードは、ポリモーフィック文字列難読化／ハッシュベースのインポート解決／定数のランタイム計算を使用して、高度に難読化されている」と、先週に発表された分析で述べている。

Facebook を攻撃する NodeStealer は情報窃取マルウェア：セッション・クッキー侵害の容易さを証明

Facebook disrupts new NodeStealer information-stealing malware

2023/05/03 BleepingComputer — Facebook が発見したのは、新たな情報スティーラー・マルウェア NodeStealer であり、ブラウザ・クッキーを盗み出した脅威アクターに対して、Meta／Gmail／Outlook アカウントの乗っ取りを許すものである。有効なユーザー・セッション・トークンを含むクッキーのキャプチャは、サイバー犯罪者の間で人気が高まっている戦術であり、二要素認証による保護をバイパスしながら認証情報を盗み出し、ターゲットとの対話を必要とすること無く、アカウントの乗っ取りへと至るものだ。

Rilide マルウェアは Chromium を狙う：偽物の Google Drive エクステンションに要注意

New Rilide Malware Targeting Chromium-Based Browsers to Steal Cryptocurrency

2023/04/04 TheHackerNews — Chromium ベースの Web ブラウザが、新しいマルウェア Rilide の標的になっている。このマルウェアは、正規のエクステンションを装い、機密データを採取し、暗号通貨を吸い上げる。Trustwave SpiderLabs Research は、「Rilide マルウェアは、正規の Google Drive エクステンションに偽装されており、脅威アクターに対して各種の悪意のアクティビティを提供する。具体的に言うと、閲覧履歴の監視／スクリーンショットの撮影に加えて、各種の暗号通貨取引所から資金を引き出すための悪意のスクリプトの挿入なども可能にする」と、The Hacker News に提供されたレポートで述べている。

SYS01stealer という情報スティーラーを発見：Facebook ビジネス・アカウントなどが標的

SYS01stealer: New Threat Using Facebook Ads to Target Critical Infrastructure Firms

2023/03/07 TheHackerNews — サイバー・セキュリティ研究者たちが発見したのは、政府／インフラ／製造業などを標的とする、SYS01stealer という名の新しい情報スティーラーである。 Morphisec は、「このキャンペーンのターゲットは、Facebook のビジネス・アカウントだ。この脅威アクターは、ゲーム／アダルトコンテンツ／クラックソフトウェアなどを宣伝する、Google 広告や Facebook の偽プロファイルを使用して、悪意のファイルをダウンロードするように、被害者たちを誘導する。この攻撃は、ログインデータ／クッキーだけではなく、Facebook ビジネスアカウント情報などの、機密情報を盗むために設計されている」と、The Hacker News と共有したレポートで詳述している。

Google Chrome の脆弱性 SymStealer は危険：Ver 107 以前の 25億人に影響の可能性

Google Chrome ‘SymStealer’ Vulnerability Could Affect 2.5 Billion Users

2023/01/12 InfoSecurity — 2022年7月に Imperva のセキュリティ研究者が発見し、9月にパッチを適用された Chromium の脆弱性 CVE-2022-3656 は、パッチを適用していない 25億人のユーザーに影響を与えている可能性がある。2023年1月12日に、Imperva のセキュリティ研究者である Ron Masas が、この脆弱性 (通称 SymStealer) について、ブログ記事を公開した。具体的に言うと、ブラウザが SymLink を処理する方法を悪用する攻撃者に対して、暗号ウォレットやクラウド・プロバイダの認証情報などの、機密ファイルの窃取を許してしまう脆弱性だという。

CISA KEV 警告 22/12/02：Google Chrome の深刻な脆弱性 CVE-2022-4262

CISA orders agencies to patch exploited Google Chrome bug by Dec 26th

2022/12/05 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、サイバー攻撃での悪用が確認されているバグのリストに、新たな脆弱性を追加した。この脆弱性 CVE-2022-4262 は、Google Chrome for Windows／Mac／Linux に存在するものであり、12月2日にゼロデイバグとしてパッチが適用されたものだ。そのセキュリティ・アドバイザリで Google は、「脆弱性 CVE-2022-4262 が、野放し状態で悪用されているという報告を確認している」と述べている。

Chrome の悪意のエクステンション VenomSoftX：Google Sheets を装い暗号通貨を窃取

Google Chrome extension used to steal cryptocurrency, passwords

2022/11/21 BleepingComputer — VenomSoftX という情報窃取型の Google Chrome エクステンションが、Windows マルウェアにより展開され、ユーザーの暗号通貨やクリップボードの内容を窃取している。この Chrome エクステンションは、Windows マルウェア ViperSoftX によりインストールされ、JavaScript ベースの RAT (Remote Access Trojan) として、また、暗号通貨ハイジャッカーとして機能する。 ViperSoftX は 2020年から存在しており、Cerberus と Colin Cowie のセキュリティ研究者により、また、Fortinet のレポートにより、以前から公表されている。

Cloud9 は Chrome ボットネット：リモート操作＋多彩な機能で攻めてくる

Malicious extension lets attackers control Google Chrome remotely

2022/11/08 BleepingComputer — Cloud9 という新しい Chrome ブラウザ・ボットネットが、野放し状態で発見された。このボットネットは、悪意のエクステンションを使用して、オンライン・アカウントの窃盗／キーストロークの記録／広告や悪意の JS コードの注入／被害者のブラウザへの DDoS 攻撃などをしていたという。Cloud9 ブラウザ・ボットネットは、Google Chrome／Microsoft Edge を含む Chromium Web ブラウザ用のリモート・アクセス型トロイの木馬 (RAT：Remote Access Trojan) であり、脅威アクターによるリモート・コマンドの実行を可能にする。