Adobeは、「Flash Player」に影響する重大な脆弱性に対応するフィックスをリリースした。この脆弱性は、ハッカーがHacking Teamのシステムに侵入したことでようやく発見されたものだ。
監視ツールを提供する企業Hacking Teamのサーバが、先週末に侵入を受けた。このハッキングで400Gバイト以上の企業データが流出しており、同社は、「高度な」攻撃で「実行に数日から数週間を要した」としている。
トレンドマイクロの研究者は米国時間7月7日、このダンプデータの中から、数多くのエクスプロイトとそのコードを発見した。エクスプロイトのうち2つはAdobe Flashに影響を与えるもので、他は「Windows」OSを標的とするものだ。
最も重大な脆弱性は、ByteArrayクラスに存在する解放後使用（UAF）の脆弱性で、これを利用すると、PCの機能をオーバーライドし、オブジェクトの値の変更やメモリの再割り当てを行うことができる。
この脆弱性の概念実証では、これを悪用することでWindowsの計算機を開き、任意の悪質コードを標的のPCにダウンロードして実行できることが示されている。
この脆弱性はWindowsの「Control Flow Guard」セキュリティシステムを迂回し、Adobe Flash Player 9以上に影響する。
Adobeはアドバイザリの中で、この重大な脆弱性にCVE番号（CVE-2015-5119）を付与したことを明らかにした。この脆弱性は、Windows、Linux、「Mac」システム向けFlash Playerの全バージョンに影響する。
Adobeが8日にリリースしたセキュリティアップデートでは、CVE-2015-5119のほか、ヒープバッファオーバーフローの脆弱性、メモリ破損の脆弱性、セキュリティバイパスの脆弱性、タイプの混乱の脆弱性、Use-After-Freeの脆弱性、同一生成元ポリシーがバイパスされる脆弱性などが修正された。
提供：Symantec
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
