Tenable ブログ
ブログ通知を受信する
CVE-2019-13720: Google Chrome の解放後メモリ利用 (Use-after-free) の欠陥を悪用した攻撃が確認される
Googleは悪用が確認されたGoogle Chromeのゼロデイ脆弱性に対するパッチをリリースしました。この脆弱性の詳細は公開されていません。
背景
10月31日、GoogleはGoogle Chromeのデスクトップ版向けのアップデートを公開しました。 このリリースでは、2つの脆弱性が修正されています。そのうちの1つは、ゼロデイとして実際の攻撃が確認されています。
分析
CVE-2019-13720は、Google Chromeのオーディオにおける解放後メモリ利用（UAF）の脆弱性です。オーディオコンポーネントがメディア/オーディオソースのコンテンツに関連付けられているかどうかは不明です。 この脆弱性は、Kaspersky Labの研究者であるAlexey Kulaev 氏と、Advanced Threats Research and Detectionの責任者であるAnton Ivanov氏によって、10月29日にGoogleに報告されました。Kasperskyによると、このゼロデイ脆弱性の攻撃は実際に確認されています。
A few days ago our technologies caught a new Chrome 0day exploit used in the wild and we reported it to Google. Just released-Chrome 78 patches it, credits to my colleagues @antonivanovm and Alexey Kulaev for finding the bug. https://t.co/Bgm0QtNO2d
— Costin Raiu (@craiu) November 1, 2019
ユーザーおよび組織にパッチを適用する時間を与えるために、この脆弱性に関する追加の詳細は一般に公開されていません。しかし、Kasperskyはブログでいくつかの詳細情報を公開し、脆弱性をOperation WizardOpiumと呼ばれる攻撃キャンペーンに関連付けています。
Kasperskyの研究者らは、このブログで、韓国語のニュースポータルで悪意のあるコードインジェクションが発生後、脆弱性を発見したと述べています。Kasperskyは「脆弱性開示の原則」に従い、脆弱性自体に関する特定の詳細を開示していませんが、 エクスプロイトは、「2つのスレッド間で適切な同期が取れていないため、競合状態になるために発生するバグを使用している」と指摘しています。この競合状態により、UAFは任意のコードの実行につながる可能性があり、Kasperskyでは実証できたと述べています。
このGoogle Chromeデスクトップ版向けリリースで修正された他の脆弱性はCVE-2019-13721で、これは、セキュリティ研究者banananapenguinにより10月12日に報告されたPDFium libraryのUAF脆弱性です。
CVE-2019-13720は、今月修正されたGoogle Chromeのオーディオコンポーネントの2番目のUAF脆弱性です。Semmle Security Research TeamのMan Yue Mo氏によって報告された別のオーディオにおけるUAFの欠陥であるCVE-2019-13695は、10月10日に修正されています。
概念実証
このブログが公開された時点では、CVE-2019-13720の概念実証（PoC）は公開されていません。ただし、Googleはこの脆弱性を悪用した実際の攻撃が確認されていることを認めています。
ソリューション
Googleは、Windows、Mac、Linux向けのGoogle Chromeアップデート（78.0.3904.87）でCVE-2019-13720とCVE-2019-13721に対処しました。Googleは、セキュリティアドバイザリで、パッチが適用されたバージョンは「今後数日/数週間にわたってリリースされる予定である」と述べています。
影響を受けているシステムの特定
この脆弱性を識別するためのテナブルのプラグインのリストは、リリースされた時点でこちらに表示されます。さらに、Kasperskyはブログで侵害の指標を提供しています。これは影響を受けるシステムを特定するためにも使用できます。
詳細情報
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
現代のアタックサーフェスを総合的に管理する Cyber Exposure Platform を初めて提供した Tenable について詳細情報をご覧ください。
今すぐ Tenable.io Vulnerability Management の60日間無料トライアルをお試しください。
関連記事
CVE-2024-47575: Frequently Asked Questions About FortiJump Zero-Day in FortiManager and FortiManager Cloud
October 23, 2024Frequently asked questions about a zero-day vulnerability in Fortinet’s FortiManager that has reportedly been exploited in the wild.
From Bugs to Breaches: 25 Significant CVEs As MITRE CVE Turns 25
October 22, 2024Twenty five years after the launch of CVE, the Tenable Security Response Team has handpicked 25 vulnerabilities that stand out for their significance.
Oracle October 2024 Critical Patch Update Addresses 198 CVEs
October 15, 2024Oracle addresses 198 CVEs in its fourth quarterly update of 2024 with 334 patches, including 35 critical updates.
Securing Financial Data in the Cloud: How Tenable Can Help
November 4, 2024Preventing data loss, complying with regulations, automating workflows and managing access are four key challenges facing financial institutions. Learn how Tenable can help.
Cybersecurity Snapshot: Apply Zero Trust to Critical Infrastructure’s OT/ICS, CSA Advises, as Five Eyes Spotlight Tech Startups’ Security
November 1, 2024Should critical infrastructure orgs boost OT/ICS systems’ security with zero trust? Absolutely, the CSA says. Meanwhile, the Five Eyes countries offer cyber advice to tech startups. Plus, a survey finds “shadow AI” weakening data governance. And get the latest on MFA methods, CISO trends and Uncle Sam’s AI strategy.
FY 2024 State and Local Cybersecurity Grant Program Adds CISA KEV as a Performance Measure
October 31, 2024The CISA Known Exploited Vulnerabilities (KEV) catalog and enhanced logging guidelines are among the new measurement tools added for the 2024 State and Local Cybersecurity Grant Program.
- Vulnerability Management