ブラウザ「Chrome」の「Cookie暗号化保護」を破壊する「C4攻撃」

Googleのブラウザ「Chrome」に実装された「Cookie」の保護機能を回避する攻撃手法が明らかとなった。「Chromium」の派生ブラウザも影響を受ける可能性がある。

「Chrome」では、Windowsにおいてインフォスティーラーなどから「Cookie」を保護する「Application-Bound（App-Bound）」機能を2024年7月に実装したが、同機能を回避し、低い権限を持つユーザーによって暗号化された「Cookie」を復号、取得する攻撃手法が報告された。

「AppBound」では、Windows標準のデータ保護機能の「DPAPI」により、従来同様「Cookie」に対してユーザー単位の暗号化を行うことにくわえ、SYSTEMアカウントによるDPAPI暗号化を行うことで保護を強化している。

これに対し、CyberArkの研究者が現地時間2025年6月30日に複数の脆弱性によりこれらを回避する攻撃手法を発表した。今回判明した攻撃手法は、プラスチック爆薬の「C4」をなぞり、「C4（Chrome Cookie Cipher Cracker）攻撃」と命名されている。

具体的には、「Chrome」を不正なプログラムに誘導できる脆弱性や、偽装したバイナリにデータをわたすことで暗号化を回避する脆弱性が判明。さらに「Windows」のイベントログに対する「パディングオラクル攻撃」で「SYSTEM」レベルによる暗号を解読することが可能としている。

（Security NEXT - 2025/07/04 ） ツイート

PR

関連記事

「Chromium」の脆弱性狙う攻撃 - 派生ブラウザ利用者も注意を
「Lucee」にクリティカル脆弱性 - 悪用コード公開済み
「MS Edge」にアップデート - ゼロデイ脆弱性などに対応
「Cisco Unified CM」に深刻なRCE脆弱性 - ESリリースのみ影響
「Citrix Bleed 2」への懸念広がる - 提供元は「悪用未確認」強調
メッセージ保護アプリ「TM SGNL」の複数脆弱性、悪用リストに追加
「NetScaler ADC」脆弱性、パッチ公開前から攻撃発生
「NetScaler ADC/Gateway」にゼロデイ脆弱性 - 早急に更新を
「Chrome」にゼロデイ脆弱性、アップデート公開 - 軽減策の実施も
特権コマンド実行ツール「sudo」に重要度「クリティカル」の脆弱性