CVE-2018-15982とは？Adobe Flash Playerの脆弱性をわかりやすく解説

ひとことでAdobe Flash Player で、解放済みメモリを使ってしまう弱点です。
深刻度7.8 重要CVSS v3.1
まずやることFlash Player が入っていないか調べる

基本情報（データから表示）

CVE番号	CVE-2018-15982
製品	Adobe Flash Player
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-02-15
米国政府機関の対応期限	2022-08-15
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-416（解放済みメモリの使用）

何が起きた

Adobe Flash Player で、使い終わって解放したメモリをもう一度使ってしまう弱点（解放後使用）が見つかりました。NVD の説明によると、悪用されると任意のコード（攻撃者が好きに選べるプログラム）を実行される可能性があります。NVD の評価では、ログインは不要ですが、利用者がファイルを開くなどの操作が必要です。CISA によると、実際の悪用が確認されており、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe Flash Player を使っている人・組織が対象です。NVD の説明では、31.0.0.153 以前と 31.0.0.108 以前が影響を受けます。Adobe によると、Flash Player のサポートは 2020年12月31日で終わっています。

何をすればいい

Adobe は、すべての利用者に Flash Player をすぐにアンインストールするよう強くすすめています。CISA も、サポートが終わった製品なので、まだ使っている場合は使うのをやめるよう案内しています。Flash Player が残っていないか確認してください。

やることチェックリスト

Flash Player が入っていないか調べる
Flash Player をアンインストールする
Flash Player を使うのをやめる

用語メモ

Adobe Flash Player: 以前、Web ページで動画やゲームを動かすのに広く使われたソフトです。現在はサポートが終わっています。
解放後使用用語集で見る: 使い終わって手放したメモリの場所を、あとでまた使ってしまう不具合です。攻撃に悪用されることがあります。
ランサムウェア用語集で見る: データを使えなくして、元に戻す代わりにお金を要求する悪質なプログラムです。

次に読む

同じ製品・メーカーの脆弱性Adobe Flash Player（CVE-2014-0502）8.8 重要CVSS v3.1Adobe Flash Player で、メモリの二重解放から命令を実行される弱点です。同じ製品・メーカーの脆弱性Adobe Flash Player（CVE-2014-0497）9.8 緊急CVSS v3.1Adobe Flash Player で、数の計算の誤りから命令を実行される弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Adobe Flash Player Use-After-Free Vulnerability

概要

Adobe Flash Player com.adobe.tvsdk.mediacore.metadata Use After Free Vulnerability

推奨対応

The impacted product is end-of-life and should be disconnected if still in use.

この元データの出どころ: CISA KEV カタログで見る

Adobe Flash Player のuse-after-freeの脆弱性（CVE-2018-15982）