Adobe Flash Player and AIR の脆弱性（CVE-2016-1010）

何が起きた

Adobe Flash Player と Adobe AIR に、数の計算があふれる問題（整数オーバーフロー）があり、攻撃者が選んだプログラムを動かされるおそれがある弱点が見つかりました。CISA は実際の悪用を確認しており、Adobe も、限られた相手をねらった攻撃（標的型攻撃）で悪用されているという報告を把握していると発表しました。攻撃者は離れた場所からでも狙えて権限も要りませんが、利用者の何らかの操作が必要です。

誰が影響を受ける

NVD によると、Windows と OS X 用の Flash Player の 18.0.0.333 より前と、19.x から 21.x の 21.0.0.182 より前、Linux 用の 11.2.202.577 より前、Adobe AIR、AIR SDK、AIR SDK & Compiler の 21.0.0.176 より前が対象です。CISA によると、これらの製品はすでにサポートが終わっています。

何をすればいい

CISA は、Flash Player と AIR はサポートが終わった製品なので、まだ使っている場合は切り離すよう求めています。Adobe の勧告 APSB16-08 では当時、Flash Player を 21.0.0.182 などに更新するよう案内していましたが、今は修正が配られないため、使い続けずに使用をやめることが大切です。あわせて Adobe の公式の案内を確認してください。

やることチェックリスト

• Flash Player と AIR が入った機器を確認する
• Flash Player と AIR の使用をやめる
• 使い続けている機器は切り離す

用語メモ

整数オーバーフロー

計算の結果が、決められた数の範囲を超えてしまう不具合です。その結果、メモリの扱いがおかしくなり悪用されることがあります。

標的型攻撃

特定の組織や人をねらって行われる攻撃です。