Adobe Acrobat and Reader のuse-after-freeの脆弱性（CVE-2021-28550）

何が起きた

Adobe Acrobat と Reader に、使い終わったメモリをまだ使ってしまう弱点（解放後使用）が見つかりました。NVD の説明によると、利用者が細工されたファイルを開くと、攻撃者が任意の（攻撃者が好きに選べる）プログラムを、その利用者の権限で動かせるおそれがあります。NVD の評価では、ログインしていない攻撃者がネットワーク経由で悪用でき、被害者がファイルを開く操作が必要とされています。CISA によると、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Adobe Acrobat と Reader を使っている人や組織が影響を受けます。NVD の説明では、Acrobat Reader DC の 2021.001.20150 以前、2020.001.30020 以前、2017.011.30194 以前が対象です。

何をすればいい

メーカー（ベンダー）の案内に従って、Acrobat と Reader を更新してください。NVD の説明にある 2021.001.20150 以前、2020.001.30020 以前、2017.011.30194 以前の版のままになっていないか確認してください。修正版の番号はこのデータからは不明のため、公式の案内を確認してください。知らない相手から届いたファイルは開かないでください。

やることチェックリスト

• Acrobat と Reader の版を調べる
• メーカーの案内に従って最新版に更新する
• 知らない相手からのファイルを開かないようにする

用語メモ

解放後使用

使い終わって返したメモリを、プログラムが誤ってまた使ってしまう不具合です。攻撃者に悪用されると、不正な操作につながることがあります。

任意の

攻撃者が好きに選べる、という意味です。任意のプログラムを動かせると、攻撃者の思いどおりの処理をされるおそれがあります。