「Chromium」ベースのWebブラウザに見つかった脆弱性「CVE-2022-3656」を悪用すると、攻撃者は機密ファイルを盗み出すことができる可能性があるという。どのような脆弱性なのか。その影響とは。
セキュリティベンダーImpervaの研究者は、Googleの「Chrome」およびオープンソースの「Chromium」ベースのWebブラウザに潜む、危険な脆弱(ぜいじゃく)性「CVE-2022-3656」を発見した。CVE-2022-3656を悪用すると、攻撃者は世界中の25億人以上のエンドユーザーから、機密ファイルを盗めるようになる可能性があるという。Chromiumベースの主要なWebブラウザには、Chromeに加えてMicrosoftの「Microsoft Edge」がある。
2022年、ImpervaのセキュリティチームがCVE-2022-3656を発見した。CVE-2022-3656の発見者である同社のロン・マサス氏によると、ChromiumベースのWebブラウザには“ある処理”に脆弱性が存在していた。それは、
だ。
シンボリックリンクは、他のファイルやフォルダを指すファイルのことを指す。OSはシンボリックリンクが指す先にあるファイルを、シンボリックリンクの場所にあるかのように扱うことができる。ChromiumベースのWebブラウザは、シンボリックリンクが指す先について、本来アクセス可能な場所かどうかを十分にチェックしておらず、結果として機密ファイルの盗難を許してしまう可能性があるという。
ChromiumベースのWebブラウザを使用している場合は「これらのWebブラウザを最新の状態に保ち、ファイルをダウンロードする際には慎重になることが重要だ」と、マサス氏は強調する。パスワード管理ツールや多要素認証(MFA)の使用によるセキュリティの向上も検討するとよい。
マサス氏は、CVE-2022-3656をGoogleに報告。それを受けてGoogleは2022年10月25日(現地時間)、Chromeのバージョン107で修正した。だがマサス氏らがこれをテストしたところ、問題が完全には解決されていないことが分かった。Googleは、2022年11月29日に公開したChromeのバージョン108で、この問題を解決したとみられる。
後編は、Impervaが想定する、CVE-2022-3656悪用攻撃の一例を示す。
米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ(仮想PC画面)は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。
「マーケティングオートメーション」 国内売れ筋TOP10(2025年5月)
今週は、マーケティングオートメーション(MA)ツールの売れ筋TOP10を紹介します。
「サイト内検索」&「ライブチャット」売れ筋TOP5(2025年4月)
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10(2025年4月)
今週は、ECプラットフォーム製品(ECサイト構築ツール)の国内売れ筋TOP10を紹介します。