最近の脆弱性 › CVE-2016-1019

Adobe Flash Player の脆弱性（CVE-2016-1019）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2016-1019
製品	Adobe Flash Player
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-03-03
米国政府機関の対応期限	2022-03-24
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	不明

何が起きた

Adobe Flash Player に、外から悪用できる弱点が見つかりました。Adobe の説明では、型の取り違え（あるデータを、別の種類のデータとして扱ってしまう弱点）で、コードの実行につながるおそれがあります。悪用されると、Flash Player が異常終了するサービス拒否（使えない状態にされること）が起きたり、任意の（攻撃者が好きに選べる）コードを動かされたりする可能性があります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。NVD の説明では、2016年4月に実際の攻撃に使われたとされ、ランサムウェア（身代金を要求する不正なプログラム）を使った攻撃での悪用も知られています。Adobe は、Windows 10 以前で Flash Player 20.0.0.306 以前を使うパソコンで、実際に悪用されているという報告を受けていました。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe Flash Player の 21.0.0.197 以前が影響を受けます。Windows 8.1 や Windows 10 などで、Internet Explorer と Microsoft Edge に組み込まれた Flash Player も、Microsoft のセキュリティ情報 MS16-050 の対象でした。Adobe は 2020年12月31日で Flash Player のサポートを終えています。

何をすればいい

Flash Player はすでにサポートが終わっており、Adobe はすべての利用者にすぐアンインストールするよう強く勧めています。CISA も、まだ使っている場合は切り離すよう案内しています。パソコンに Flash Player が残っていないか確かめ、残っていれば削除してください。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

パソコンから Flash Player をアンインストールする
Flash Player を使うのをやめる
ブラウザーに組み込まれた Flash が残っていないか調べる

用語メモ

型の取り違え: プログラムが、あるデータを本来とは違う種類のデータとして扱ってしまう不具合です。乗っ取りの原因になることがあります。
サービス拒否: ソフトウェアや機器を止めたり、とても遅くしたりして、使えない状態にする攻撃です。
ランサムウェア: パソコンのファイルを使えなくして、元に戻す代わりにお金を要求する不正なプログラムです。
アンインストール: パソコンに入れたソフトウェアを取り除くことです。

元データ（英語・CISA KEV より）

Adobe Flash Player Arbitrary Code Execution Vulnerability

概要

Adobe Flash Player allows remote attackers to cause a denial of service or possibly execute arbitrary code.

推奨対応

The impacted product is end-of-life and should be disconnected if still in use.