• ひとことでAdobe Flash Player で、細工された SWF ファイルから乗っ取られるおそれがある弱点です。
  • 深刻度7.8 重要CVSS v3.1
  • まずやることパソコンから Flash Player をアンインストールする

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2015-7645
製品Adobe Flash Player
深刻度（CVSS）7.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2022-03-03
米国政府機関の対応期限2022-03-24
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）不明

何が起きた

Adobe Flash Player に、細工された SWF ファイル（Flash の中身のファイル）を読み込むと、攻撃者が任意の（攻撃者が好きに選べる）コードを動かせる弱点が見つかりました。Adobe の説明では、型の取り違え（あるデータを、別の種類のデータとして扱ってしまう弱点）で、限られた標的型攻撃に使われているという報告を受けていました。NVD の評価では、ログインは不要ですが、利用者がファイルを開くなどの操作が必要です。NVD の説明では、2015年10月に実際の攻撃に使われたとされ、ランサムウェア（身代金を要求する不正なプログラム）を使った攻撃での悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した SWF ファイルを用意する → 2. 利用者がそのファイルやページを開く → 3. Flash Player がファイルを読み込む → 4. 攻撃者の選んだコードが動く1攻撃者が細工した SWF ファイルを用意する2利用者がそのファイルやページを開く3Flash Player がファイルを読み込む4攻撃者の選んだコードが動く攻撃の流れ: 1. 攻撃者が細工した SWF ファイルを用意する → 2. 利用者がそのファイルやページを開く → 3. Flash Player がファイルを読み込む → 4. 攻撃者の選んだコードが動く1攻撃者が細工した SWF ファイルを用意する2利用者がそのファイルやページを開く3Flash Player がファイルを読み込む4攻撃者の選んだコードが動く攻撃の流れ: 1. 攻撃者が細工した SWF ファイルを用意する → 2. 利用者がそのファイルやページを開く → 3. Flash Player がファイルを読み込む → 4. 攻撃者の選んだコードが動く1攻撃者が細工した SWF ファイルを用意する2利用者がそのファイルやページを開く3Flash Player がファイルを読み込む4攻撃者の選んだコードが動く

誰が影響を受ける

Windows と OS X の Adobe Flash Player の 18.x の 18.0.0.252 まで、19.x の 19.0.0.207 まで、Linux の 11.x の 11.2.202.535 までが影響を受けます。Adobe は 2020年12月31日で Flash Player のサポートを終えています。

何をすればいい

Flash Player はすでにサポートが終わっており、Adobe はすべての利用者にすぐアンインストールするよう強く勧めています。CISA も、まだ使っている場合は切り離すよう案内しています。パソコンに Flash Player が残っていないか確かめ、残っていれば削除してください。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

  • パソコンから Flash Player をアンインストールする
  • Flash Player を使うのをやめる
  • 知らない相手から届いたリンクやファイルを開かない

用語メモ

SWF ファイル
Flash で作られたアニメーションやプログラムを入れておくファイルの形式です。
型の取り違え 用語集で見る
プログラムが、あるデータを本来とは違う種類のデータとして扱ってしまう不具合です。乗っ取りの原因になることがあります。
ランサムウェア 用語集で見る
パソコンのファイルを使えなくして、元に戻す代わりにお金を要求する不正なプログラムです。
アンインストール 用語集で見る
パソコンに入れたソフトウェアを取り除くことです。

次に読む

同じ製品・メーカーの脆弱性Adobe Flash Player（CVE-2014-0502）8.8 重要CVSS v3.1Adobe Flash Player で、メモリの二重解放から命令を実行される弱点です。同じ製品・メーカーの脆弱性Adobe Flash Player（CVE-2014-0497）9.8 緊急CVSS v3.1Adobe Flash Player で、数の計算の誤りから命令を実行される弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Adobe Flash Player Arbitrary Code Execution Vulnerability

概要

Adobe Flash Player allows remote attackers to execute arbitrary code via a crafted SWF file.

推奨対応

The impacted product is end-of-life and should be disconnected if still in use.

この元データの出どころ: CISA KEV カタログで見る