Chrome機能拡張「EXIF Viewer」の脆弱性 - 数年越しの調整

「Chrome」向けに提供されている拡張機能「EXIF Viewer Classic」の脆弱性が公表された。数年を経て調整が行われたもので、最新版については脆弱性の影響を受けないという。

同ソフトは、画像データのメタデータである「Exif（Exchangeable image file format）」を確認できるツール。「同2.3.2」「同2.4.0」においてクロスサイトスクリプティング（XSS）の脆弱性「CVE-2025-23362」が指摘されていた。

細工された「Exifメタデータ」を含む画像を処理すると、ブラウザ上で任意のスクリプトが実行されるおそれがあるという。JPCERTコーディネーションセンターでは、共通脆弱性評価システム「CVSSv3.0」のベーススコアを「6.1」と評価している。

同脆弱性は、三井物産セキュアディレクションの東内裕二氏、森田浩平氏が情報処理推進機構（IPA）へ報告したもので、JPCERT/CCが調整を行っていた。

開発ベンダーとは数年間にわたり連絡が取れない状況にあり、一時「連絡不能開発者一覧」にも追加されていたが、その後調整が可能となったという。

開発者は、同ソフトにおいてコード全般の見直しを実施。最新版である「同3.0.1」では、「CVE-2025-23362」の影響を受けないとしており、最新版へアップデートするよう呼びかけられている。

（Security NEXT - 2025/01/28 ）ツイート