Adobe Flash Player のuse-after-freeの脆弱性（CVE-2018-4878）

何が起きた

Adobe Flash Player に、使い終わって解放したメモリを再び使ってしまう誤り（解放後使用）が見つかり、実際に悪用が確認されています。NVD の説明では、2018年の1月と2月に悪用されました。Adobe によると、メールで送られた Office の文書に悪意のある Flash の中身を埋め込む形で、Windows の利用者をねらった攻撃に使われました。NVD の評価では、利用者がファイルを開くなどの操作が必要です。CISA によると、ランサムウェアの攻撃での悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe の勧告（APSB18-03）によると、Adobe Flash Player 28.0.0.137 以前が影響を受けます。NVD の説明では 28.0.0.161 より前とされています。Adobe によると、Flash Player のサポートは 2020年12月31日で終わっています。

何をすればいい

Adobe は、Flash Player のサポートを 2020年12月31日で終え、2021年1月12日から Flash の中身が動かないようにしたうえで、すべての利用者にすぐに Flash Player をアンインストールするよう強く勧めています。CISA も、サポートが終わった製品であり、まだ使っている場合は使うのをやめるよう求めています。当時の修正版は 28.0.0.161 ですが、今は Flash Player を使い続けず、取り除くことが対策になります。公式の案内を確認し、古いバージョンが使われていないか確認してください。

やることチェックリスト

• Adobe Flash Player を使うのをやめる
• パソコンから Flash Player を取り除く
• 不審なメールの添付文書は開かないようにする

用語メモ

解放後使用

プログラムが、もう使わないと返したメモリを、誤って再び使ってしまう誤りです。攻撃者の命令を実行される原因になります。

Adobe Flash Player

Web ページで動画やゲームなどを動かすために使われていた Adobe のソフトです。