Google Chrome 86.0.4240.111リリース、悪用確認ゼロデイ脆弱性修正含む

Malwarebytesは10月26日(米国時間)、「Google patches actively exploited zero-day bug that affects Chrome users - Malwarebytes Labs｜Malwarebytes Labs」において、GoogleがWebブラウザ「Google Chrome」の最新版となるChrome 86.0.4240.111をStableチャンネル向けにリリースしたと伝えた。

このリリースには5件の脆弱性に対する修正が含まれている。そのうちの1件は、すでに攻撃への悪用が確認されているゼロデイ脆弱性であるため、早急な対策が必要とされる。

• Google Chrome 86.0.4240.111

Chrome 86.0.4240.111で修正された脆弱性については、Googleによる下記のリリースノートにまとめられている。

• Chrome Releases: Stable Channel Update for Desktop

これによると、Chrome 86.0.4240.111では下記のように、影響度が「高(High)」の脆弱性が4件、「中(Medium)」の脆弱性が1件修正されている。

• （高）CVE-2020-16000: Blinkにおける不適切な実装
• （高）CVE-2020-16001: Mediaにおける解放後のメモリアクセス（Use After Free）
• （高）CVE-2020-16002: PDFiumにおける解放後のメモリアクセス
• （高）CVE-2020-15999: FreeTypeにおけるヒープバッファオーバーフロー
• （中）CVE-2020-16003: 印刷における解放後のメモリアクセス

上記のうち、CVE-2020-15999のFreeTypeにおけるヒープバッファオーバーフローの脆弱性は、悪用した攻撃が確認されている。FreeTypeはテキストレンダリンライブラリだが、フォントに埋め込まれたPNG画像を処理する過程で、PNGの幅や高さが65535を超えるとヒープバッファオーバーフローが発生する問題が発見された。これを悪用されると、特定のデータの上書きや破損が可能となり、結果としてリモートから任意のコードを実行するなどの攻撃につながる危険性がある。

この問題に対処するために、早急にGoogle Chrome 86.0.4240.111にアップデートすることが推奨される。また、Chromeと同じFreeTypeライブラリを使用している他のアプリケーションについてもこの脆弱性の影響を受ける可能性があり、FreeType 2.10.4に更新することで解消できるとのことだ。