Googleは関連するMicrosoftWindowsの脆弱性も開示しています
読んだ2分
グーグルクローム
Googleのセキュリティ専門家は、すべてのChromeユーザーに推奨しています すぐに CVE-2019-5786というラベルの付いたゼロデイエクスプロイトが最新の72.0.3626.121バージョンでパッチされているため、ブラウザを更新します。
ゼロデイエクスプロイトは、セキュリティ開発がパッチを適用する前に、ハッカーが発見し、エクスプロイトの方法を理解したセキュリティの脆弱性です。したがって、「ゼロデイ」という用語–セキュリティ開発には文字通りゼロデイがありました。
Googleは当初、セキュリティの脆弱性の技術的な詳細について、「 Chromeユーザーの大多数はこの修正で更新されています。」 これにより、さらなる損傷を防ぐことができた可能性があります。
ただし、Googleは、セキュリティの脆弱性がブラウザのFileReaderコンポーネントでの解放後使用のエクスプロイトであることを確認しました。 FileReaderは標準のAPIであり、Webアプリがファイルの内容を非同期で読み取ることができます。 コンピューターに保存 。 Googleはまた、セキュリティの脆弱性がオンラインの脅威アクターによって悪用されていることを確認しました。
一言で言えば、セキュリティの脆弱性により、攻撃者はChromeブラウザで権限を取得し、任意のコードを実行することができます サンドボックスの外 。脅威はすべての主要なオペレーティングシステムに影響を与えます（ Windows、macOS、およびLinux） 。
GoogleChromeのセキュリティおよびデスクトップエンジニアリングリードであるJustinSchunでさえTwitterで発言したため、これは非常に深刻なエクスプロイトであるに違いありません。
https://twitter.com/justinschuh/status/1103087046661267456
セキュリティチームがセキュリティホールに公に対処することはかなり珍しいことであり、通常はサイレントにパッチを適用します。したがって、ジャスティンのツイートは、すべてのユーザーがChromeをできるだけ早く更新することへの強い切迫感を暗示していました。
グーグルは持っています 詳細を更新 脆弱性について、そして実際には、2つの別々の脆弱性が連携して利用されていることを認めました。
最初の脆弱性はChrome自体にあり、上記で詳述したようにFileReaderエクスプロイトに依存していました。
2番目の脆弱性は、MicrosoftWindows自体にありました。これは、Windows win32k.sysでのローカル権限昇格であり、セキュリティサンドボックスエスケープとして使用できました。この脆弱性は、特定の状況下でNtUserMNDragOver（）システムコールが呼び出された場合のwin32k！MNGetpItemFromIndexのNULLポインター逆参照です。
グーグルは、彼らがマイクロソフトに脆弱性を開示し、それが「 標的型攻撃で積極的に悪用されていることがわかっているWindowsの深刻な脆弱性」 。
Microsoftは修正に取り組んでいると報告されており、ユーザーはWindows 10にアップグレードし、パッチが利用可能になり次第、Microsoftからパッチを適用することをお勧めします。
PCでGoogleChromeを更新する方法
ブラウザのアドレスバーに「chrome：// settings / help」と入力するか、右上の3つのドットをクリックして、下の画像に示すように[設定]を選択します。 
次に、左上隅から[設定（バー）]を選択し、[Chromeについて]を選択します。
[バージョン情報]セクションに入ると、Googleは自動的に更新を確認し、利用可能な更新がある場合はGoogleから通知されます。
