知って得するセキュリティのはなし その7
ChromeのPDFリーダー機能に脆弱性か…PCの情報等を外部に送信の可能性
1.このニュースをザックリ言うと
- 2月26日（現地時間）、セキュリティ企業のEdgeSpot社より、Google ChromeのPDFリーダー機能に存在する未修正の脆弱性を突くPDFファイルが2018年12月から確認されているとして注意喚起が出されています。
- 発表によれば、この不正なPDFファイルをPC上に保存した状態でChromeで開いた場合、PCのIPアドレス・OS・ChromeのバージョンおよびPDFファイルのローカルディスク上のパスといった情報がユーザの許可なく外部に送信されるとのことです。
- Googleでは12月の時点で報告を受けており、4月下旬に修正を予定しているとのことです。
2.執筆者からの所感等
- 2月12日にAcrobat Reader等で修正された脆弱性とは異なるものとされ、Chrome以外（Acrobat ReaderやFirefox等）の場合や、外部Webサイト上のPDFファイルを直接表示する場合には問題は発生しないとの情報があるため、攻撃者はWebサイト上のリンクをクリックしたらそこでPDFを直接表示する形ではなく、一旦ダウンロードさせてから開かせようとする形をとることが考えられます（メールに添付する等も考えられます）。
- PDFリーダーはAcrobat Reader以外にも数多く存在し、またChrome以外の各種Webブラウザ（IE除く）にも備わっていますので、PDFファイルを読む手段を普段から複数用意しておくことはセキュリティリスクの回避の面でも有用と言えますが、常に最新のバージョンを利用することや、アンチウイルスやUTMによる防御も併せて行っていくことも忘れてはいけません。
