Adobeのセキュリティ対応チームが、Adobe Illustrator CS4に存在する重大なゼロデイ脆弱性と思われる問題に対する攻撃コードが公開された問題に大急ぎで対処しようとしている。
この脆弱性は、Encapsulated Postscript File（.eps）の構文解析のエラーによって引き起こされるもので、ユーザーが特別に作成された.epsファイルを開くと、この問題が悪用され、メモリ破壊を引き起される可能性がある。Secuniaによれば、この脆弱性の悪用に成功した場合、任意のコードの実行が可能になる。
このセキュリティホールは、バージョンCS3 13.0.0およびCS4 14.0.0に存在することが確認されている。他のバージョンにも影響がある可能性がある。
これがWindows XP Service Pack 3上で動作する攻撃コードへのリンクだ。
DSCコメントに過度に長い文字列を用いると（4万2000バイト超）、直接的なEIPの上書きが生じる。例外処理はファーストチャンス式であるため、プログラムがクラッシュすることはない。リダイレクトされた時点では、EAXとESIはユーザーによってコントロールされている。
Adobeの製品セキュリティ担当ディレクターBrad Arkin氏は、同社が公にされたレポートについて調査中であると述べている。間もなく緩和策が同社のPSIRTブログに掲載される見込みだ。
Secuniaは、それまでの間Illustratorユーザーは信頼できない情報源から入手したファイルを開くのを避けることを推奨している。
[UPDATE] Adobeもこの脆弱性の存在を公式に確認した。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。原文へ
