Adobe Flash Player の型の取り違えの脆弱性（CVE-2017-11292）

何が起きた

Adobe Flash Player で、プログラムの命令（バイトコード）を確かめる手順に欠陥があり、データの種類を取り違える弱点（型の取り違え）が起きて、攻撃者が任意の（好きに選べる）プログラムを動かせるおそれがあります。攻撃者は離れた場所からログインなしで狙えますが、利用者の何らかの操作が必要です。CISA は実際の悪用を確認しており、Adobe も、Windows の利用者をねらった限られた標的型攻撃で使われているという報告を把握していると発表しました。

誰が影響を受ける

NVD によると、Adobe Flash Player の 27.0.0.159 以前が対象です。CISA によると、この製品はすでにサポートが終わっています。

何をすればいい

CISA は、Flash Player はサポートが終わった製品なので、まだ使っている場合は切り離すよう求めています。Adobe の勧告 APSB17-32 では当時、27.0.0.170 に更新するよう案内していましたが、今は修正が配られないため、使い続けずに使用をやめることが大切です。あわせて Adobe の公式の案内を確認してください。

やることチェックリスト

• Flash Player が入った機器を確認する
• Flash Player の使用をやめる
• 使い続けている機器は切り離す

用語メモ

型の取り違え

プログラムが、あるデータを別の種類のデータだと思い込んで扱ってしまう不具合です。

バイトコード

プログラムを、実行する仕組みが読みやすい形に変えた命令の並びです。

標的型攻撃

特定の組織や人をねらって行われる攻撃です。