AdobeとMicrosoftがFlashのゼロデイ脆弱性を修正

Adobe は、韓国政府が先週発表したゼロデイ脆弱性に対するパッチをリリースした。

新しいFlashゼロデイ

先週、韓国インターネット振興院（KISA）は、攻撃者が韓国国民を狙ってFlashのゼロデイ脆弱性を悪用しているという警告を発しました。Flashは最近あまりニュースで取り上げられていませんが、これは現在、ほとんどの最新ブラウザがデフォルトでFlashをブロックしているためです。つまり、攻撃者はもはやFlashに依存するウェブサイトを通じてユーザーのマシンを直接攻撃することができなくなったのです。

しかし、今回のケースでは、攻撃者は主にFlashコードが埋め込まれたWord文書をメールに添付して送信することで、Flashの新たなゼロデイ脆弱性を悪用し続けることに成功しました。この「use-after-free」（UAF）脆弱性により、攻撃者は感染したシステムをリモートから乗っ取ることが可能となります。

Adobeは当時、このバグを認識しており、これまでのところ一部のWindowsユーザーを対象とした限定的な標的型攻撃にのみ利用されていると考えていると回答しました。しかし、このバグはmacOSとLinuxユーザーにも影響を与えました。

AdobeはIT管理者に対し、Flashの以前のバージョン（v27）以降では、SWFコンテンツの再生前にユーザーに確認メッセージを表示するようにFlash Playerの動作を変更できることを改めて通知しました。また、Word文書を保護ビューでロックダウンし、読み取り専用モードにすることもできることを改めて通知しました。