最近の脆弱性 › CVE-2015-5122
Adobe Flash Player のuse-after-freeの脆弱性（CVE-2015-5122）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2015-5122 |
|---|---|
| 製品 | Adobe Flash Player |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-04-13 |
| 米国政府機関の対応期限 | 2022-05-04 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-416 |
何が起きた
Adobe Flash Player の DisplayObject という部品に、使い終わったメモリを再び使ってしまう弱点（解放後使用）が見つかりました。opaqueBackground という設定の扱いの誤りを突く細工された Flash の内容で、攻撃者が任意の（攻撃者が好きに選べる）プログラムを実行したり、動作を止めたりできるおそれがあります。NVD の説明によると、2015年7月に実際の攻撃で悪用されました。NVD の評価では、ネットワーク経由で、ログインなしに悪用できるとされています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Adobe Flash Player がまだ入っているパソコンが対象です。NVD によると、Windows と OS X の 13.x から 13.0.0.302 まで、14.x から 18.0.0.203 まで、Linux の 11.x から 11.2.202.481 まで、Linux の Chrome に入った 12.x から 18.0.0.204 までが影響を受けます。Adobe は 2020年12月31日で Flash Player のサポートを終えています。
何をすればいい
Adobe は当時、勧告 APSB15-18 で、Desktop Runtime を 18.0.0.209 に、Extended Support Release を 13.0.0.309 に、Linux 用を 11.2.202.491 に更新するよう案内していました。しかし今は Flash Player のサポートが終わっており、Adobe はすべての利用者にすぐアンインストールするよう強く勧めています。CISA も、まだ使っている場合は切り離すよう求めています。メーカーの公式の案内も確認してください。
やることチェックリスト
- Flash Player が残っていないか調べる
- Flash Player をアンインストールする
- 使い続けている機器は切り離す
用語メモ
- 解放後使用
- プログラムが使い終わって手放したメモリを、誤ってもう一度使ってしまう弱点です。攻撃者にプログラムを実行される原因になります。
- アンインストール
- パソコンに入っているソフトを取り除くことです。
- Extended Support Release
- Flash Player の、新機能を足さずに修正だけを続けて配る版のことです。
元データ（英語・CISA KEV より）
Adobe Flash Player Use-After-Free Vulnerability
概要
Use-after-free vulnerability in the DisplayObject class in the ActionScript 3 (AS3) implementation in Adobe Flash Player allows remote attackers to execute code or cause a denial-of-service (DoS).
推奨対応
The impacted product is end-of-life and should be disconnected if still in use.