Adobe Flash Player のクロスサイトスクリプティングの脆弱性（CVE-2012-0767）

何が起きた

Adobe Flash Player に、攻撃者がウェブページに不正なスクリプトや HTML を入れられる弱点（クロスサイトスクリプティング）が見つかりました。どのサイトにも働く種類のもので、ユニバーサル XSS とも呼ばれます。ネットワーク経由で離れた場所からログイン不要で狙えますが、利用者の操作が必要です。この弱点は、実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD と CVE の記録の説明によると、Windows、Mac OS X、Linux、Solaris では 10.3.183.15 より前と、11.x の 11.1.102.62 より前の Adobe Flash Player が対象です。Android 2.x と 3.x では 11.1.111.6 より前、Android 4.x では 11.1.115.6 より前が対象です（Adobe のセキュリティ情報 APSB12-03 は開けず、版はそこでは確かめていません）。Adobe Flash Player は、すでにサポートが終わっている製品です。

何をすればいい

Adobe は Flash Player のサポートを終えており、すべての利用者にすぐにアンインストールするよう強く勧めています。CISA も、サポートが終わった製品なので、まだ使っている場合は切り離すよう求めています。パソコンに Flash Player が残っていないか確認し、残っていれば削除してください。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

• パソコンに Flash Player が残っていないか調べる
• 残っていれば Flash Player をアンインストールする
• 使い続けている機器はネットワークから切り離す

用語メモ

クロスサイトスクリプティング

攻撃者が用意したスクリプトを、ウェブページの中で動かしてしまう攻撃です。XSS とも呼ばれます。

ユニバーサル XSS

特定のサイトだけでなく、ブラウザやプラグインの弱点を使って、どのサイトに対しても行えるクロスサイトスクリプティングです。

アンインストール

パソコンに入れたソフトウェアを取り除くことです。