Adobe Reader and Acrobat のuse-after-freeの脆弱性（CVE-2014-0496）

何が起きた

Adobe の Reader と Acrobat に、使い終わったメモリをまた使ってしまう弱点（解放後使用）が見つかり、実際に悪用が確認されています。悪用されると、攻撃者が任意の（好きに選んだ）プログラムを動かせるおそれがあります。攻撃者はネットワーク経由で、ログインなしに悪用できますが、利用者の操作（ファイルを開くなど）が必要です。

誰が影響を受ける

NVD の説明では、Windows と Mac OS X 向けの Adobe Reader と Acrobat の 10.x の 10.1.9 より前と、11.x の 11.0.06 より前が影響を受けます。Adobe のセキュリティ情報 APSB14-01 でも、Reader XI と Acrobat XI の 11.0.05 以前、Reader X と Acrobat X の 10.1.8 以前が対象とされています。

何をすればいい

Adobe は APSB14-01 で、Reader XI と Acrobat XI は 11.0.06 に、Reader X と Acrobat X は 10.1.9 に更新するよう案内しています。ただし、Adobe のサポート終了の一覧では、Reader XI、Acrobat XI、Reader X、Acrobat X はどれもサポートが終わっています。これらの古い版は使い続けず、Adobe の公式の案内を確認して、サポートのある版に置き換えてください。

やることチェックリスト

• Reader と Acrobat の版番号を確かめる
• Reader XI は 11.0.06 以降に更新する
• サポート終了の版はサポートのある版に置き換える

用語メモ

解放後使用

プログラムが使い終わって手放したメモリを、誤ってもう一度使ってしまう不具合です。悪用されると、攻撃者のプログラムを動かされることがあります。

サポート終了

メーカーが、その製品の修正や更新を出さなくなることです。新しい弱点が見つかっても直されません。