Google の Project Zero、Chrome OS の未修正脆弱性を公表

headless 曰く、

Google の Projecto Zero は 5 月 26 日、報告から未修正のまま 90 日間が経過した Chrome OS の脆弱性を公表した (Issue 2264、 Neowin の記事)。

Chrome OS では画面ロック時に BadUSB などの攻撃から保護するため USBGuard を用いるが、接続を許可・拒否する USB デバイスをリストアップしたポリシーに問題があり、接続を拒否すべき USB デバイスの接続を許可してしまう可能性があるという。

Project Zero では深刻度「高」のタグを付けているが、2 月 24 日に報告を受けた Chromium チームは深刻度「低」としてトリアージしており、ドライバーを基準にマッチングを行うという緩和策も役に立たないとのこと。5 月 25 日に報告から 90 日が経過した。なお、この脆弱性は単独で攻撃に使用できるものではないものの、画面ロック時の USB による攻撃の可能性を広げるとのことだ。