ソース

現在の説明

Google Chrome 89.0.4389.90より前のBlinkにおけるUse After Free（解放後使用）の脆弱性により、リモートの攻撃者が巧妙に細工されたHTMLページを介してヒープ破壊を悪用する可能性がありました。

CVEとは何か？

画像の説明をここに入力

CVE（Common Vulnerabilities and Exposuresの略）は、公開されているコンピュータセキュリティの欠陥のリストです。誰かがCVEに言及する場合、CVE ID番号が割り当てられたセキュリティ上の欠陥を意味します。ベンダーや研究者が発行するセキュリティ勧告には、ほぼ常に少なくとも1つのCVE IDが記載されています。CVEはITプロフェッショナルがこれらの脆弱性を優先順位付けして対処するための取り組みを調整し、コンピュータシステムをより安全にするのに役立ちます。 ソース

Google Chromeの脆弱性

Chromeチームは2021年3月に、いずれかのデバイスでGoogle Chromeを使用している場合、直ちに更新することが緊急であるという発表を行いました。Google Chromeの更新は頻繁に行われますが、最新のパッチである安定版ビルド89.0.4389.90は、複数の脆弱性を修正しており、そのうち3つは深刻度が高く、1つはすでにサイバー犯罪者やハッカーによって悪用されています。 ソース これは、CVE-2021-21193と呼ばれる深刻度の高い脆弱性の1つでした。これは、Google ChromeのブラウザエンジンであるBlinkの脆弱性であり、HTMLコードを、あなたが閲覧に慣れている洗練されたWebページに変換する役割を担う主要コンポーネントです。この問題は、Blinkコンポーネント内の特定の未確認の処理に影響を与え、未知の入力による操作がメモリ破壊の脆弱性につながります。悪意のある者によって悪用されたこの脆弱性は、すべてのユーザーがバージョン89.0.4389.90に更新する必要があることを示唆しています。これはUse-After-Free（解放後使用）の脆弱性であり、Blinkがメモリのクリアに問題を抱えていたことを意味します。 ソース

攻撃に関する少しの情報

この弱点は2021年3月5日に公開されました。悪用を成功させるために認証は不要ですが、被害者が何らかのユーザー操作を行うことが必要です。また、エクスプロイトの推定価格は、2021年3月28日時点で約5,000〜25,000米ドルと計算されています。https://vuldb.com/?id.170687

Use After Free（解放後使用）

これは些細で平凡なものに見えるかもしれませんが、Use-After-Free脆弱性の最も一般的な結果は、データ破損と任意のコード実行です。これは、National Vulnerability DatabaseによるCVE-2021-21193脆弱性自体の説明によれば、「リモートの攻撃者が巧妙に細工されたHTMLページを介してヒープ破壊を悪用する可能性」を許すものです。 ソース

Use-After-Freeとは何か、そしてどのように発生するのか？

Use-After-Free（UAF）は、プログラム動作中の動的メモリの誤った使用に関連する脆弱性です。メモリ領域を解放した後、プログラムがそのメモリへのポインタをクリアしない場合、攻撃者はそのエラーを利用してプログラムをハッキングすることができます。

UAF脆弱性は、動的メモリ割り当てのメカニズムに起因します。スタックとは異なり、動的メモリ（ヒープとも呼ばれる）は大量のデータを格納するように設計されています。プログラマーはその中に任意のサイズのブロックを割り当てることができ、プログラム内のタスクはそれを変更したり、解放して同じプログラム内の他のタスクが後で使用できるようにヒープに戻したりすることができます。

プログラムは、動的メモリが頻繁に再割り当てされるため、ヒープのどの領域が空きでどの領域が使用中かを継続的に検証する必要があります。ヘッダーは、割り当てられたメモリ領域を参照することで役立ちます。適切なブロックの開始アドレスは各ヘッダーに含まれています。UAFバグは、プログラムがこれらのヘッダーを適切に管理しない場合に発生します。

UAFバグはどのように発生するのか？

プログラム内のポインタは、動的メモリ内のデータセットを参照します。データセットが削除されたり別のブロックに移動されたりしても、ポインタがクリア（nullに設定）される代わりに、解放されたメモリを引き続き参照する場合、その結果はダングリングポインタになります。その後、プログラムがこの同じメモリチャンクを別のオブジェクト（例えば、攻撃者が入力したデータ）に割り当てると、ダングリングポインタはこの新しいデータセットを参照することになります。言い換えれば、UAF脆弱性はコードの置換を可能にします。

UAFの悪用

攻撃者はUAFを使用して、任意のコードまたはその参照をプログラムに渡し、ダングリングポインタを使用してコードの先頭に移動することができます。このようにして、サイバー犯罪者は悪意のあるコードを実行することで被害者のシステムの制御を取得できます。 ソース

匿名のセキュリティ研究者が3月9日にCVE-2021-211193を報告し、Googleはわずか3日で修正プログラムを急いでリリースしました。この急ぎは、この脆弱性が現実世界で悪用されたことに起因する可能性があります。犯罪者はすでにこの脆弱性を利用しており、それだけで全員がGoogle Chromeをできるだけ早くパッチ適用する十分な理由となります。 ソース

CVE-2021-21193脆弱性からの大きな教訓

Googleは通常、脆弱性が修正されるまで情報を公開しません。そしてCVE-2021-21193脆弱性は、匿名のセキュリティ研究者によって報告されてから3日以内に修正されました。これは、この脆弱性が現実世界の状況ですでに悪用されていた可能性が高いことを意味します。経験則として、Googleのような巨大テック企業がセキュリティ問題を真剣に受け止めているなら、私たちも同様に受け止めるべきです。

しかし、ここにはもう1つの重要な教訓があります。それは、これらのテック大手とその製品は完璧ではないということです。私たちと同じように、彼らもまた、あなたのようなエンドユーザーのためにシステムとツールを安全に保つための絶え間ない競争の一部なのです。開発者からの最新のアップデートでソフトウェアをパッチ適用し続けることは絶対に不可欠です。最新のアップデートこそが、急速に進化し前進するサイバー脅威の脅威を最小限に抑えるために作られたものだからです。 ソース

参考リンク:

https://vuldb.com/?id.170687