CVEノート

最近の脆弱性 › CVE-2012-1535

Adobe Flash Player の脆弱性（CVE-2012-1535）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2012-1535
製品Adobe Flash Player
深刻度（CVSS）7.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2022-03-03
米国政府機関の対応期限2022-03-24
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）不明

何が起きた

Adobe Flash Player に、細工した SWF（Flash の内容）を読み込むと任意のコード（攻撃者が好きに選べるプログラム）を実行されたり、アプリが止まったりする弱点が見つかりました。Adobe の勧告 APSB12-18 によると、悪意のある Word 文書で配られる限られた標的型攻撃で悪用されているという報告があり、Windows の Internet Explorer 向けの ActiveX 版の Flash Player が狙われていました。NVD の評価では、攻撃は対象の機器上で行われ、攻撃者にログインは不要ですが、被害者がファイルを開くなどの操作をする必要があります。CISA も実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が SWF を入れた Word 文書を用意する → 2. 利用者がその文書を開く → 3. Flash Player の弱点が突かれる → 4. 任意のコードが実行される1攻撃者が SWF を入れた Word 文書を用意する2利用者がその文書を開く3Flash Player の弱点が突かれる4任意のコードが実行される攻撃の流れ: 1. 攻撃者が SWF を入れた Word 文書を用意する → 2. 利用者がその文書を開く → 3. Flash Player の弱点が突かれる → 4. 任意のコードが実行される1攻撃者が SWF を入れた Word 文書を用意する2利用者がその文書を開く3Flash Player の弱点が突かれる4任意のコードが実行される

誰が影響を受ける

NVD の説明によると、Windows と Mac OS X の Flash Player は 11.3.300.271 より前、Linux の Flash Player は 11.2.202.238 より前が影響を受けます。Flash Player がまだ入っているパソコンを使っている人・組織が対象です。

何をすればいい

CISA によると、Flash Player はサポートが終わった製品で、まだ使っている場合は使うのをやめるよう求めています。Flash Player が残っているパソコンがないか確かめ、使うのをやめてください。知らない相手から届いた Word 文書は開かないようにしてください。あわせて、公式の案内を確認してください。

やることチェックリスト

用語メモ

SWF
Flash で作られたアニメーションやプログラムのファイル形式です。
Flash Player
Web ページや文書の中の Flash の内容を再生するための Adobe のソフトです。

元データ（英語・CISA KEV より）

Adobe Flash Player Arbitrary Code Execution Vulnerability

概要

Unspecified vulnerability in Adobe Flash Player allows remote attackers to execute arbitrary code or cause a denial of service via crafted SWF content.

推奨対応

The impacted product is end-of-life and should be disconnected if still in use.

公式情報