CVE-2010-2883とは？Adobe Acrobat and Readerの脆弱性をわかりやすく解説

ひとことでAdobe Reader と Acrobat で、細工された PDF のフォントから乗っ取られる弱点です。
深刻度7.3 重要CVSS v3.1
まずやることReader と Acrobat 9.x を 9.4 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2010-2883
製品	Adobe Acrobat and Reader
深刻度（CVSS）	7.3 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-06-08
米国政府機関の対応期限	2022-06-22
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-119（メモリバッファの範囲の制限の不備）

何が起きた

Adobe Acrobat and Reader の CoolType.dll（フォントを扱う部品）に、スタックバッファオーバーフローの弱点が見つかり、実際に悪用が確認されています。PDF に入った TTF フォントの SING テーブルに長すぎる項目があると、攻撃者が任意のコードを実行したり、アプリを強制終了させたりできるおそれがあります。NVD の評価では、一般利用者程度の権限が必要で、利用者が PDF を開くなどの操作も必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD によると、Windows と Mac OS X の Adobe Reader and Acrobat 9.x の 9.4 より前と、8.x の 8.2.5 より前が対象です。

何をすればいい

9.x を使っている場合は 9.4 以降、8.x を使っている場合は 8.2.5 以降に更新されているかを確認してください。あわせて Adobe の公式の案内を確認し、最新版を使ってください。知らない相手から届いた PDF は開かないようにしてください。

やることチェックリスト

Reader と Acrobat 9.x を 9.4 以降に更新する
Reader と Acrobat 8.x を 8.2.5 以降に更新する
知らない相手からの PDF を開かないようにする

用語メモ

スタックバッファオーバーフロー用語集で見る: プログラムが一時的に使うメモリの領域（スタック）に、決められた量より多いデータを書き込んでしまう不具合です。攻撃に使われると、不正なプログラムの実行につながることがあります。
TTF フォント: TrueType という形式のフォント（文字の形のデータ）です。PDF の中に入れて使われることがあります。
任意のコード用語集で見る: 攻撃者が好きに選んだプログラムの命令のことです。

次に読む

同じ製品・メーカーの脆弱性Adobe Acrobat and Reader（CVE-2009-3459）8.8 重要CVSS v3.1Adobe Reader と Acrobat で、細工した PDF を開くとプログラムを実行される弱点です。同じ製品・メーカーの脆弱性Adobe Acrobat and Reader（CVE-2026-34621）8.6 重要CVSS v3.1Adobe Acrobat と Reader で、細工した PDF を開くとコードを実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Adobe Acrobat and Reader Stack-Based Buffer Overflow Vulnerability

概要

Adobe Acrobat and Reader contain a stack-based buffer overflow vulnerability that allows remote attackers to execute code or cause denial-of-service (DoS).

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Adobe Acrobat and Reader のバッファオーバーフローの脆弱性（CVE-2010-2883）