Adobe Acrobat and Reader のバッファオーバーフローの脆弱性（CVE-2021-21017）

何が起きた

Adobe Acrobat と Reader に、用意したメモリの範囲を超えてデータを書き込んでしまう弱点（ヒープバッファオーバーフロー）が見つかりました。NVD の説明によると、ログインしていない攻撃者が、今使っている利用者の権限で任意の（攻撃者が好きに選べる）プログラムを動かせるおそれがあります。悪用には、利用者が細工したファイルを開く必要があります。CISA は実際の悪用を確認しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、Acrobat Reader DC の 2020.013.20074 以前、2020.001.30018 以前、2017.011.30188 以前のバージョンが影響を受けます。これらの Adobe Acrobat や Reader を使っている人や組織が対象です。

何をすればいい

Adobe Acrobat と Reader を、Adobe の案内に従って最新のバージョンに更新してください。2020.013.20074、2020.001.30018、2017.011.30188 以前のままになっていないか確認してください。あわせて Adobe の公式の案内を確認し、知らない相手から届いたファイルは開かないようにしてください。

やることチェックリスト

• Acrobat と Reader を Adobe の案内で更新する
• Acrobat と Reader のバージョン番号を調べる
• 知らない相手から届いた PDF ファイルを開かない

用語メモ

ヒープバッファオーバーフロー

プログラムが使うメモリ領域（ヒープ）で、用意した範囲を超えてデータを書き込んでしまう不具合です。

任意の

攻撃者が好きなように選べる、という意味です。