• ひとことでサポートが終わった Adobe Flash Player と AIR の、メモリの扱いの弱点
  • 深刻度8.8 重要CVSS v3.1
  • まずやることFlash Player と AIR が入った機器を確認する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2016-0984
製品Adobe Flash Player and AIR
深刻度（CVSS）8.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
KEVへの追加日2022-05-25
米国政府機関の対応期限2022-06-15
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-416（解放済みメモリの使用）

何が起きた

Adobe Flash Player と Adobe AIR に、使い終わって解放したメモリをその後も使ってしまう問題（解放後使用）があり、攻撃者が選んだプログラムを動かされるおそれがある弱点が見つかりました。CISA は、この弱点が実際に悪用されたことを確認しています。攻撃者は離れた場所からでも狙えて権限も要りませんが、利用者の何らかの操作が必要です。攻撃の方法のくわしい中身は不明です。

誰が影響を受ける

NVD によると、Windows と OS X 用の Flash Player の 18.0.0.329 より前と、19.x と 20.x の 20.0.0.306 より前、Linux 用の 11.2.202.569 より前、Adobe AIR、AIR SDK、AIR SDK & Compiler の 20.0.0.260 より前が対象です。CISA によると、これらの製品はすでにサポートが終わっています。

何をすればいい

CISA は、Flash Player と AIR はサポートが終わった製品なので、まだ使っている場合は切り離すよう求めています。Adobe の勧告 APSB16-04 では当時、Flash Player を 20.0.0.306 などに更新するよう案内していましたが、今は修正が配られないため、使い続けずに使用をやめることが大切です。あわせて Adobe の公式の案内を確認してください。

やることチェックリスト

  • Flash Player と AIR が入った機器を確認する
  • Flash Player と AIR の使用をやめる
  • 使い続けている機器は切り離す

用語メモ

解放後使用 用語集で見る
使い終わって返したメモリを、プログラムが誤ってその後も使ってしまう不具合です。英語では Use-After-Free と呼びます。
メモリ 用語集で見る
パソコンが作業中のデータを一時的に置いておく場所です。

次に読む

同じ製品・メーカーの脆弱性Adobe Flash Player and AIR（CVE-2016-1010）8.8 重要CVSS v3.1サポートが終わった Adobe Flash Player と AIR の、プログラムを動かされる弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Adobe Flash Player and AIR Use-After-Free Vulnerability

概要

Use-after-free vulnerability in Adobe Flash Player and Adobe AIR allows attackers to execute code.

推奨対応

The impacted products are end-of-life and should be disconnected if still in use.

この元データの出どころ: CISA KEV カタログで見る