Adobe Flash Playerに深刻な脆弱性 - すでに攻撃を確認

JPCERT/CCは7月9日、米Adobe SystemsからAdobe Flash Player に関する脆弱性の情報 (APSB15-16)が公開されたとして、注意を呼びかけた。これら脆弱性を悪用されると、遠隔の第三者により、Adobe Flash Player を不正終了されたり、任意のコードを実行されたりするおそれがあるという。

今回発見された脆弱性は、イタリアのセキュリティ・ベンダーであるHacking Teamが攻撃を受けて漏洩したデータから明らかになったものと言われている。Hacking Teamが漏洩したデータは400GBに上るという。

Adobe Systemsは7月8日(現地時間)、CVE番号ベースで36件の脆弱性(CVE-2014-0578, CVE-2015-3097, CVE-2015-3114, CVE-2015-3115, CVE-2015-3116, CVE-2015-3117, CVE-2015-3118, CVE-2015-3119, CVE-2015-3120, CVE-2015-3121, CVE-2015-3122, CVE-2015-3123, CVE-2015-3124, CVE-2015-3125, CVE-2015-3126, CVE-2015-3127, CVE-2015-3128, CVE-2015-3129, CVE-2015-3130, CVE-2015-3131, CVE-2015-3132, CVE-2015-3133, CVE-2015-3134, CVE-2015-3135, CVE-2015-3136, CVE-2015-3137, CVE-2015-4428, CVE-2015-4429, CVE-2015-4430, CVE-2015-4431, CVE-2015-4432, CVE-2015-4433, CVE-2015-5116, CVE-2015-5117, CVE-2015-5118, CVE-2015-5119)を修正する「Adobe Flash Player」のセキュリティアップデートを公開した。

対象となる製品とバージョンは以下のとおり。

Adobe Flash Player 18.0.0.194 およびそれ以前のバージョン(Windows/Mac)
Adobe Flash Player Extended Support Release 13.0.0.296 およびそれ以前の 13.x のバージョン(Windows/Mac)
Adobe Flash Player 11.2.202.468およびそれ以前の 11.x のバージョン(Linux)
AIR Desktop Runtime 18.0.0.144 およびそれ以前のバージョン
AIR SDK and SDK & Compiler 18.0.0.144 およびそれ以前のバージョン

対策として、最新のバージョンに更新する必要がある。Adobe Flash Player for Windows and Macintoshの最新版は18.0.0.203となっている。

Adobe Flash Playerが標準で同梱されているWindows 8用Internet Explorer 10、Windows 8.1用Internet Explorer 11は、Windows Updateなどで最新のFlash Playerが更新プログラムとして提供される。

同様に、Flash Playerが標準で同梱されているGoogle Chromeでは、Google Chromeのアップデート時にAdobe Flash Playerが更新される。