GoogleがChrome 115をリリース、脆弱性20件にパッチ（CVE-2023-3727、CVE-2023-3728ほか）

GoogleがChrome 115をリリース、脆弱性20件にパッチ（CVE-2023-3727、CVE-2023-3728ほか）

Googleは18日にChrome 115をリリースし、外部から報告された脆弱性11件を含む20件の脆弱性に対処した。このうち、以下の4件は深刻度が高いと評価されている。

CVE-2023-3727

WebRTCにおける解放済みメモリ使用の問題で、深刻度は「High」の評価。報告者であるCassidy Kim氏には、7,000ドルのバグ報奨金が授与されている。

CVE-2023-3728

同じくWebRTCにおける解放済みメモリ使用の問題で、深刻度は「High」の評価。報告者であるZhenghang Xiao氏には、上記と同額の7,000ドルのバグ報奨金が授与されている。

CVE-2023-3730

タブグループ機能における解放済みメモリ使用のバグで、深刻度は「High」の評価。報告者である@ginggilBesel氏には、2,000ドルのバグ報奨金が授与されている。

CVE-2023-3732

Mojoにおける境界外メモリアクセスの脆弱性で、深刻度は「High」の評価。 Google Project Zeroの研究者Mark Brand氏によって報告されたもので、報奨金の授与はなし。

悪用の有無は？

今回のChrome 115のリリースで修正された脆弱性に関して、Googleはこれらが悪意ある攻撃で実際に悪用されているかどうかに言及していないため、悪用有無は不明。脆弱性の詳細は、最新アップデートがほぼすべてのユーザーにインストールされてから明らかにされる見込みであり、その際に悪用への言及もあるかもしれない。特に上記4件の深刻な脆弱性については、今後も動向を注視したい。

（情報源：SecurityWeek “Chrome 115 Patches 20 Vulnerabilities”、Google “Chrome Releases”）

7月20日：その他の注目ニュース

美容大手エスティ ローダー、異なる2件のランサムウェア攻撃で被害に

Bleeping Computer – Jul 19 2023 23:51

美容大手のエスティ ローダーが、異なる2件のランサムウェア攻撃の被害者としてClopとALPHV/BlackCatの両ランサムウェアグループの各データリークサイトに掲載されている。

まずClopによる攻撃は、MOVEit Transferの脆弱性を悪用したものだと思われ、同社もシステムの一部が不正アクセスを受けたことや、データが盗まれた可能性があることについて認めている。Clopはリークサイトにおいて、同社のデータ131GB以上を保有していると述べている。この攻撃により、エスティ ローダーの事業運営の一部に支障が生じているとのこと。

またBlackCatランサムウェアグループも、火曜日にエスティ ローダーをリークサイトの被害者リストに追加。BlackCatの主張によれば、同グループは2023年7月15日にエスティ ローダーへEメールを送り、その後再送メールも送ったものの返答を得られなかったという。同グループは、同社が交渉に応じないのであれば、盗んだデータに関するさらなる詳細を開示することになると述べている。さらに、BlackCatのリークサイトには、同社がマイクロソフトのMicrosoft Detection and Response Team (DART) やMandiantを利用しているにもかかわらず侵害されたことに関して揶揄するような文言も記載されているとのこと。

CVE-2023-38408：OpenSSHのssh-agentにおけるRCEの脆弱性

Qualys Blog – Jul 19 2023 15:53

OpenSSHのssh-agentで発見されたリモートコード実行の脆弱性（CVE-2023-38408）について、Qualysがブログ記事を公開。これによれば、同脆弱性の悪用に成功した遠隔の攻撃者は、脆弱なssh-agent（agent forwardingが行われている場合）で任意のコマンドを実行できるようになる可能性があるという。Qualysの研究者らは独自にこの脆弱性を検証し、Ubuntu Desktop 22.04および21.10に対応したPoCエクスプロイトの作成に成功している。また、Linuxの他のディストリビューションにおいてもおそらく悪用は可能であるという。OpenSSHのagent forwardingは広く利用されているものであることから、 Qualysは諸組織のセキュリティチームに対し、この脆弱性へのパッチ適用を優先的に実施するよう推奨している。