• ひとことでAdobe Flash Player に、外から任意のプログラムを動かされる弱点がありました。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることパソコンから Flash Player をアンインストールする

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2016-4171
製品Adobe Flash Player
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-03-25
米国政府機関の対応期限2022-04-15
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）不明

何が起きた

Adobe Flash Player に、遠くの攻撃者が任意の（攻撃者が好きに選べる）プログラムを動かせる弱点が見つかりました。弱点の中身や攻撃の細かい方法は公開されていません。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。NVD の説明にも、2016年6月に実際の攻撃で悪用されたとあり、CISA の一覧にも悪用が確認された脆弱性として載っています。Adobe の APSB16-18 でも、悪用コードが出回り、限られた標的型の攻撃に使われているという報告を把握しているとされています。

誰が影響を受ける

NVD の説明では、Adobe Flash Player の 21.0.0.242 以前が影響を受けます。Adobe の APSB16-18 では、ほかに Extended Support Release の 18.0.0.352 以前と、Linux 用の 11.2.202.621 以前も影響を受けるとされ、修正版は 22.0.0.192、Extended Support Release は 18.0.0.360、Linux 用は 11.2.202.626 でした。Adobe は 2020年12月31日で Flash Player のサポートを終えており、今も残っているパソコンは更新を受けられません。

何をすればいい

Flash Player はすでにサポートが終わっており、Adobe はすべての利用者にすぐアンインストールするよう強く勧めています。CISA も、まだ使っている場合は切り離すよう案内しています。パソコンに Flash Player が残っていないか確かめ、残っていれば削除してください。あわせて、メーカーの公式の案内を確認してください。

やることチェックリスト

  • パソコンから Flash Player をアンインストールする
  • Flash Player を使うのをやめる
  • 社内の端末に Flash Player が残っていないか調べる

用語メモ

アンインストール 用語集で見る
パソコンに入れたソフトウェアを取り除くことです。
サポート
メーカーが不具合や弱点の修正を出し続ける期間のことです。終わると、新しい弱点が見つかっても直されません。

次に読む

同じ製品・メーカーの脆弱性Adobe Flash Player（CVE-2014-0502）8.8 重要CVSS v3.1Adobe Flash Player で、メモリの二重解放から命令を実行される弱点です。同じ製品・メーカーの脆弱性Adobe Flash Player（CVE-2014-0497）9.8 緊急CVSS v3.1Adobe Flash Player で、数の計算の誤りから命令を実行される弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Adobe Flash Player Remote Code Execution Vulnerability

概要

Unspecified vulnerability in Adobe Flash Player allows for remote code execution.

推奨対応

The impacted product is end-of-life and should be disconnected if still in use.

この元データの出どころ: CISA KEV カタログで見る