Adobe Flash Player and AIR のuse-after-freeの脆弱性（CVE-2016-0984）

何が起きた

Adobe Flash Player と Adobe AIR に、使い終わって解放したメモリをその後も使ってしまう問題（解放後使用）があり、攻撃者が選んだプログラムを動かされるおそれがある弱点が見つかりました。CISA は、この弱点が実際に悪用されたことを確認しています。攻撃者は離れた場所からでも狙えて権限も要りませんが、利用者の何らかの操作が必要です。攻撃の方法のくわしい中身は不明です。

誰が影響を受ける

NVD によると、Windows と OS X 用の Flash Player の 18.0.0.329 より前と、19.x と 20.x の 20.0.0.306 より前、Linux 用の 11.2.202.569 より前、Adobe AIR、AIR SDK、AIR SDK & Compiler の 20.0.0.260 より前が対象です。CISA によると、これらの製品はすでにサポートが終わっています。

何をすればいい

CISA は、Flash Player と AIR はサポートが終わった製品なので、まだ使っている場合は切り離すよう求めています。Adobe の勧告 APSB16-04 では当時、Flash Player を 20.0.0.306 などに更新するよう案内していましたが、今は修正が配られないため、使い続けずに使用をやめることが大切です。あわせて Adobe の公式の案内を確認してください。

やることチェックリスト

• Flash Player と AIR が入った機器を確認する
• Flash Player と AIR の使用をやめる
• 使い続けている機器は切り離す

用語メモ

解放後使用

使い終わって返したメモリを、プログラムが誤ってその後も使ってしまう不具合です。英語では Use-After-Free と呼びます。

メモリ

パソコンが作業中のデータを一時的に置いておく場所です。