GoogleがChrome安定版をv129.0.6668.70/.71にアップデート、複数の重大な脆弱性に対処

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
GoogleがChrome安定版をアップデート、複数のセキュリティ修正を実施
Chrome 129.0.6668.70/.71の主な修正内容
Use after freeについて
Chrome安定版アップデートに関する考察
参考サイト

記事の要約

Google Chromeの安定版がアップデート
Windows/Mac向けv129.0.6668.70/.71を展開
Linux向けv129.0.6668.70も提供開始

GoogleがChrome安定版をアップデート、複数のセキュリティ修正を実施

米Googleは2024年9月24日（現地時間）、デスクトップ向け「Google Chrome」の安定（Stable）チャネルをアップデートした。今回のアップデートではWindows/Mac環境向けにv129.0.6668.70/.71が、Linux環境向けにv129.0.6668.70が展開されている。これらのバージョンは今後数日から数週間かけて順次ユーザーに提供される予定だ。^[1]

本アップデートでは5件のセキュリティ修正が実施された。特に注目すべき修正として、外部の研究者によって報告された4件の重大な脆弱性が対処されている。これらの脆弱性には、DawnにおけるUse after free、V8における不適切な実装、V8におけるType Confusion、SkiaにおけるInteger overflowなどが含まれる。

Googleは、これらの脆弱性の詳細情報へのアクセスを制限している。この措置は、大多数のユーザーが修正プログラムを適用するまでの間、攻撃者による悪用を防ぐためのものだ。また、他のプロジェクトが依存している可能性のあるサードパーティライブラリの脆弱性についても、同様の理由で情報を制限している。

Chrome 129.0.6668.70/.71の主な修正内容

脆弱性ID	影響度	問題の種類	報告者	報奨金
CVE-2024-9120	High	Use after free in Dawn	Anonymous	$10,000
CVE-2024-9121	High	Inappropriate implementation in V8	Tashita Software Security	$8,000
CVE-2024-9122	High	Type Confusion in V8	Seunghyun Lee (@0x10n)	TBD
CVE-2024-9123	High	Integer overflow in Skia	raven at KunLun lab	TBD
-	-	Various fixes from internal audits, fuzzing and other initiatives	-	-

Use after freeについて

Use after freeとは、メモリ管理に関するプログラミングエラーの一種で、主に以下のような特徴がある。

解放済みのメモリ領域にアクセスする問題
クラッシュやデータ破壊を引き起こす可能性がある
攻撃者によって悪用されるとコード実行につながる恐れがある

今回のChromeアップデートでは、DawnというGPUバックエンドライブラリにおいてUse after free脆弱性が修正された。この種の脆弱性は特に危険度が高く、リモートからの攻撃に悪用される可能性があるため、ユーザーは速やかにアップデートを適用することが推奨される。Googleはこの脆弱性の報告者に対し、$10,000の報奨金を支払っている。

Chrome安定版アップデートに関する考察

Googleが定期的にChromeの安定版をアップデートし、セキュリティ修正を行っていることは、ユーザーの安全性を確保する上で非常に重要だ。特に今回のアップデートでは、複数の重大な脆弱性が修正されており、これらの脆弱性が悪用された場合の潜在的な被害を考えると、その意義は大きい。一方で、新たな脆弱性が常に発見され続けているという事実は、ソフトウェアセキュリティの難しさを浮き彫りにしている。

今後の課題としては、脆弱性の早期発見と迅速な修正サイクルの更なる向上が挙げられる。現在のGoogleのバグ報奨金プログラムは効果的に機能していると言えるが、AIを活用した自動脆弱性検出システムの導入など、より先進的なアプローチも検討する必要があるだろう。また、ユーザー側の意識向上も重要で、アップデートの重要性を周知し、速やかな適用を促す取り組みも求められる。

将来的には、Chromeのセキュリティ機能のさらなる強化が期待される。例えば、サンドボックス技術の改善やプロセス分離の拡充、さらにはAIを活用したリアルタイム脅威検知システムの導入など、より高度なセキュリティ対策の実装が望まれる。これらの取り組みにより、Chromeユーザーのオンライン活動がより安全で快適なものになることが期待できるだろう。