- ひとことでAdobe Flash Player のメモリの扱いの弱点で、任意のコードを実行される問題
- 深刻度8.8 重要CVSS v3.1
- まずやることFlash Player が残っている端末を探す
基本情報（データから表示）
| CVE番号 | CVE-2014-8439 |
|---|---|
| 製品 | Adobe Flash Player |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-05-25 |
| 米国政府機関の対応期限 | 2022-06-15 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-119（メモリバッファの範囲の制限の不備） |
何が起きた
Adobe Flash Player に、メモリの場所を指す値（ポインタ）の扱いを誤る弱点が見つかり、実際に悪用されたことが確認されています。悪用されると、攻撃者が好きに選んだプログラム（任意のコード）を実行されたり、動作を止められたりする可能性があります。NVD に登録された CISA の評価では、ネットワーク経由で、攻撃者に権限は要りませんが、利用者の操作が必要とされています。
誰が影響を受ける
NVD によると、Windows と OS X 版の Flash Player 13.0.0.258 より前、14.x と 15.x の 15.0.0.239 より前、Linux 版の 11.2.202.424 より前が影響を受けます。あわせて Adobe AIR 15.0.0.293 より前、Adobe AIR SDK と Adobe AIR SDK & Compiler の 15.0.0.302 より前も対象です。CISA は、この製品はサポートが終わっている（end-of-life）としています。
何をすればいい
CISA は、Flash Player はサポートが終わっているので、まだ使っている場合は切り離す（使うのをやめる）よう求めています。Adobe は、2020 年 12 月 31 日で Flash Player のサポートを終え、2021 年 1 月 12 日からは Flash の内容が動かないようにしています。Adobe は、Flash Player をすぐにアンインストールするよう強く勧めています。Flash Player が残っている端末がないか確かめ、使うのをやめてアンインストールしてください。NVD の説明によると、Adobe AIR は 15.0.0.293 以降、AIR SDK は 15.0.0.302 以降が修正版にあたります。メーカーの公式の案内も確認してください。
やることチェックリスト
- Flash Player が残っている端末を探す
- Flash Player をアンインストールする
- Adobe AIR を 15.0.0.293 以降に更新する
用語メモ
- ポインタ
- メモリ上のどこにデータがあるかを指し示す値です。扱いを誤ると、おかしな場所を読み書きしてしまいます。
- 任意のコード 用語集で見る
- 攻撃者が好きに選んだプログラムのことです。実行されると、パソコンを乗っ取られるおそれがあります。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Adobe Flash Player Dereferenced Pointer Vulnerability
概要
Adobe Flash Player has a vulnerability in the way it handles a dereferenced memory pointer which could lead to code execution.
推奨対応
The impacted product is end-of-life and should be disconnected if still in use.
この元データの出どころ: CISA KEV カタログで見る