Adobeは米国時間9月21日、「Flash Player」に発見された脆弱性23件を修正するセキュリティ更新をリリースした。これらの脆弱性は「Windows」「Mac」「Linux」「iOS」「Android」版のFlash Playerとその関連製品が影響を受け、システムの制御を奪われるなどの深刻なセキュリティ侵害に悪用される可能性がある。
今回のセキュリティ更新で修正される脆弱性は、タイプの混乱、解放済みメモリ使用、バッファオーバーフロー、メモリ破損などに関するもので、いずれもクリティカルに分類されている。これらの修正に加えて、メモリリーク、スタック破損、スタックオーバーフロー、セキュリティ迂回、同一生成元ポリシーのバイパスに関する脆弱性も修正される。また、ベクトル長の破損を防止し、脆弱なJSONP Callback APIからのコンテンツを拒否するためのセキュリティ強化策も施される。
セキュリティ更新の対象となるのは、Adobe Flash Playerデスクトップランタイム18.0.0.232以前、Adobe Flash Player継続サポートリリース18.0.0.232以前、Google Chrome用Adobe Flash Player 18.0.0.233以前、Microsoft EdgeおよびInternet Explorer 11用Adobe Flash Player 18.0.0.232以前（Windows 10）、Internet Explorer 10および11用Adobe Flash Player 18.0.0.232以前（Windows 8、8.1）、Linux用Adobe Flash Player 11.2.202.508以前、AIRデスクトップランタイム18.0.0.199以前（Windows、Mac）、AIR SDK 18.0.0.199以前（Windows、Mac、iOS、Android）、AIR SDK & Compiler 18.0.0.180以前（Windows、Mac、iOS、Android）、Android用AIR 18.0.0.143以前。
Adobeでは、Google ChromeやInternet Explorerについては自動更新の利用を推奨しているが、セキュリティ更新はAdobeのウェブサイトから直接ダウンロードすることもできる。
なお、今回のセキュリティ更新については、早くも専門家から問題点が指摘されている。セキュリティ専門家のBrian Krebs氏がAdobeに確認したところによると、「Adobe Shockwave Player」にはFlashコンポーネントのバージョン16.0.0.305が搭載されているが、これは2015年2月にリリースされた古いもので、実に155件もの脆弱性が未修正の状態にあるという。
Adobeは2015年7月にも、Flashの緊急度が「クリティカル」であるゼロデイ脆弱性2件を修正するセキュリティ更新をリリースしている。これらの脆弱性はリモートでのシステム制御の奪取に悪用可能な危険性の高いもので、イタリアのセキュリティ企業Hacking Teamに対する大規模な攻撃の一環としてその存在が暴露された。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
