- ひとことでAdobe Flash Player がメモリーの配置を知られ、守りの仕組みを破られる弱点
- 深刻度7.8 重要CVSS v3.1
- まずやることFlash Player をアンインストールする
基本情報（データから表示）
| CVE番号 | CVE-2015-0310 |
|---|---|
| 製品 | Adobe Flash Player |
| 深刻度（CVSS） | 7.8 重要CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-05-25 |
| 米国政府機関の対応期限 | 2022-06-15 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-264 |
何が起きた
Adobe Flash Player には、プログラムがメモリーのどこに置かれているかを探られるのを防げない弱点があり、メモリーの配置をばらばらにして攻撃を難しくする守りの仕組み（ASLR）を破られるおそれがあります。Windows では ASLR を破られ、ほかの OS では影響の中身ははっきりしていません。この弱点は実際の攻撃に使われたことが確認されており、NVD の説明では 2015年1月に悪用されていたとされています。NVD に登録された CISA の評価では、攻撃は対象の機器上で行われ、利用者の操作が必要とされています。
誰が影響を受ける
NVD によると、Windows と OS X の Adobe Flash Player は 13.0.0.262 より前の版と、14.x から 16.x で 16.0.0.287 より前の版、Linux の Flash Player は 11.2.202.438 より前の版が影響を受けます。
何をすればいい
CISA は、この製品はサポートが終わっている（end-of-life）ため、まだ使っている場合は使うのをやめる（切り離す）よう求めています。Adobe も 2020年12月31日で Flash Player のサポートを終え、すべての利用者にすぐにアンインストールするよう強く勧めています。Flash Player が残っているパソコンでは、アンインストールしてください。
やることチェックリスト
- Flash Player をアンインストールする
- パソコンに Flash Player が残っていないか調べる
- 知らない相手からのファイルやリンクを開かない
用語メモ
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Adobe Flash Player ASLR Bypass Vulnerability
概要
Adobe Flash Player does not properly restrict discovery of memory addresses, which allows attackers to bypass the address space layout randomization (ASLR) protection mechanism.
推奨対応
The impacted product is end-of-life and should be disconnected if still in use.
この元データの出どころ: CISA KEV カタログで見る