「ChromeOS」は、レガシーバージョンの「Windows」や「macOS」に比べるとセキュアであると見なされているが、Microsoftは最近、ChromeOSのオーディオサーバーに、遠隔地からの攻撃に利用可能なたちの悪い脆弱性を発見した。その深刻度スコアは10点中の9.8だという。
提供：Amazon
ChromeOSは、Googleが開発し、オープンソース化した「Chromium OS」から派生した同社のプロプライエタリーなOSだ。これらOSはいずれもLinuxに端を発している。
Microsoftのセキュリティ研究者であるJonathan Bar Or氏は、オーディオ信号をUSBスピーカーやBluetoothヘッドセットといった周辺機器にルーティング（切替／接続）する「ChromiumOS Audio Server（CRAS）」サービスに潜む脆弱性を発見した。
この脆弱性を悪用することで攻撃者は、メタデータが巧妙に細工されたオーディオをブラウザー上や、Bluetooth接続経由で再生させ、遠隔地からローカルメモリー破壊を引き起こせるようになる。
同氏はMicrosoftのセキュリティブログで「攻撃者は、細工したオーディオファイルを新曲と称するなどしてユーザーを誘い、ブラウザー上や、ペアリングされたBluetooth機器から再生させたり、Adversary-in-the-Middle（AiTM）攻撃を用いて遠隔地からこの脆弱性を悪用したりすることが可能になっていた」と説明している。
Microsoftは4月にこの問題をGoogleに報告していた。Googleは6月中旬にパッチをリリースしたが、修正作業自体は報告から1週間を待たずに開始していた。Googleは、この脆弱性（共通脆弱性識別子「CVE-2022-2587」）がCRASにおける領域外への書き込みに起因する深刻度の高いものだと説明している。
Or氏は、2022年に入ってLinuxを分析していた際に発見した、D-Busの脆弱性に類似する問題がChromeOSにも存在しているのではないかと考え、調査を実施した。
ChromeOSはLinuxをベースにしているため、同様の問題を抱えている可能性もあった。しかし同氏によると、ChromeOSにはGoogle独自のセキュリティ強化策が施されているため、攻撃を遂行するにはたいていの場合、複数の脆弱性を組み合わせて突く必要があるという。この独自強化策のおかげで、ChromeOSで発見される脆弱性の数はWindowsやmacOSよりも少なくなっている。
オーディオサーバーに潜んでいた今回の問題は、ChromeOS固有のメモリー破壊を可能にする脆弱性であり、Or氏がSetPlayerIdentityという名前の関数の動作を調査していた際に、その関数内からCのライブラリー関数「strcpy」（転送元として指定された領域上の文字列を、転送先として指定された領域にコピーする関数）が呼び出されていることで発覚したのだという。
同氏はMicrosoftの同ブログに「strcpy関数は、境界のチェックを一切しないため、さまざまなメモリー破壊の脆弱性を引き起こすことで知られており、それ故に安全ではないとみなされている。strcpyを起動する前には、ユーザーが提供した識別引数の境界チェックを実行していないため（D-Busメッセージのデフォルトメッセージ長の制限を除く）、ヒープ領域に対するバッファオーバーフローが確実に発生し、メモリー破壊の脆弱性が引き起こされる」と記している。
Or氏はまた、Googleによる迅速な対応を称賛した。「われわれは修正の速さと全体的なプロセスの有効性に感心した。1週間足らずでコードがコミットされ、複数のマージを経てユーザーに一般提供された。この問題に対処したGoogleのチームとChromiumコミュニティーの努力に感謝する」（同氏）
この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。