• ひとことでAdobe Flash Player で、メモリの書き込みの誤りから攻撃される弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることFlash Player が残っていないか調べる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2015-3113
製品Adobe Flash Player
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-04-13
米国政府機関の対応期限2022-05-04
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-119（メモリバッファの範囲の制限の不備）

何が起きた

Adobe Flash Player に、決められた大きさを超えてメモリに書き込んでしまう弱点（ヒープバッファオーバーフロー）が見つかり、攻撃者が任意の（攻撃者が好きに選べる）プログラムを実行できるおそれがあります。NVD の説明によると、2015年6月に実際の攻撃で悪用されました。Adobe によると、限られた標的を狙った攻撃で、Windows 7 以前の Internet Explorer や Windows XP の Firefox が狙われていました。NVD の評価では、ネットワーク経由で、ログインなしに悪用できるとされています。

誰が影響を受ける

Adobe Flash Player がまだ入っているパソコンが対象です。NVD によると、Windows と OS X の 13.0.0.296 より前と 14.x から 18.x の 18.0.0.194 より前、Linux の 11.2.202.468 より前が影響を受けます。Adobe は 2020年12月31日で Flash Player のサポートを終えています。

何をすればいい

Adobe は当時、勧告 APSB15-14 で、Desktop Runtime を 18.0.0.194 に、Extended Support Release を 13.0.0.296 に、Linux 用を 11.2.202.468 に更新するよう案内していました。しかし今は Flash Player のサポートが終わっており、Adobe はすべての利用者にすぐアンインストールするよう強く勧めています。CISA も、まだ使っている場合は切り離すよう求めています。メーカーの公式の案内も確認してください。

やることチェックリスト

  • Flash Player が残っていないか調べる
  • Flash Player をアンインストールする
  • 使い続けている機器は切り離す

用語メモ

ヒープバッファオーバーフロー 用語集で見る
プログラムが使うメモリの領域（ヒープ）に、決められた大きさを超えてデータを書き込んでしまう弱点です。
アンインストール 用語集で見る
パソコンに入っているソフトを取り除くことです。
Extended Support Release 用語集で見る
Flash Player の、新機能を足さずに修正だけを続けて配る版のことです。

次に読む

同じ製品・メーカーの脆弱性Adobe Flash Player（CVE-2014-0502）8.8 重要CVSS v3.1Adobe Flash Player で、メモリの二重解放から命令を実行される弱点です。同じ製品・メーカーの脆弱性Adobe Flash Player（CVE-2014-0497）9.8 緊急CVSS v3.1Adobe Flash Player で、数の計算の誤りから命令を実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Adobe Flash Player Heap-Based Buffer Overflow Vulnerability

概要

Heap-based buffer overflow vulnerability in Adobe Flash Player allows remote attackers to execute code.

推奨対応

The impacted product is end-of-life and should be disconnected if still in use.

この元データの出どころ: CISA KEV カタログで見る