Adobe Flash Player で新しく発見された深刻な脆弱性が、少なくとも 1 件のドライブバイダウンロード攻撃で悪用されています。Adobe Flash Player Remote Code Execution Vulnerability（Adobe Flash Player のリモートコード実行の脆弱性（CVE-2015-0313）は現時点でパッチ未対応であり、Windows 8.1 以前のバージョンの Windows 上で Internet Explorer または Firefox が実行されているコンピュータを狙う攻撃で悪用されたと報告されています。
今回の脆弱性が発覚する 1 週間前には、Adobe Flash Player における別の 2 つの脆弱性が Angler 悪用キットで悪用されていることが確認されました。その後、Adobe Flash Player Unspecified Memory Corruption Vulnerability（Adobe Flash Player の未確認のメモリ破損の脆弱性）（CVE-2015-0310）と Adobe Flash Player Unspecified Security Vulnerability（Adobe Flash Player の未確認のセキュリティ脆弱性）（CVE-2015-0311）に対しては、Adobe 社からパッチが公開されています。この更新を適用済みの場合でも、今回の脆弱性は残ったままです。
Adobe 社は、新しい脆弱性に対するパッチを今週公開すると発表しています。Adobe 社によると、影響を受けるのは、Windows 版と Mac 版 の Adobe Flash Player 16.0.0.296 以前のすべてのバージョンです。バージョン 13.0.0.264 およびそれ以前の 13.x も影響を受けます。Adobe Flash Player が広く使用されていることに加えて、実際に悪用が発生しているため、この脆弱性は深刻です。悪用に成功すると、攻撃者は侵入先のシステムをクラッシュさせたり、システムを操作したりできる可能性があります。
悪質な広告（マルバタイジング）を介して標的のコンピュータにマルウェアを配信しようとするドライブバイダウンロード攻撃で、この悪用コードがすでに使われています。悪質な広告によって複数のサイトにリダイレクトされ、最終的に悪用コードに誘導されてしまいます。
緩和策
脆弱性の影響を受けるブラウザを使用している場合は、次の手順に従って Adobe Flash Player を一時的に無効にすることができます。
Internet Explorer バージョン 10 および 11
- Internet Explorerを起動します。
- ［ツール］メニューの［アドオンの管理］をクリックします。
- ［表示］ボックスで［すべてのアドオン］を選択します。
- ［Shockwave Flash Object］を選択し、［無効にする］をクリックします。
Adobe Flash Player を再び有効にするには、手順 1 から 3 を繰り返して［Shockwave Flash Object］を選択し、［有効にする］をクリックします。
それ以前のバージョンの Internet Explorer を使用している場合は、Microsoft 社の Web サイトで手順を確認することができます。右上のドロップダウンリストで、お使いの Internet Explorer のバージョンを選択してください。
Firefox
- Firefox を起動します。
- ブラウザメニューの［アドオン］をクリックします。
- ［プラグイン］タブを選択します。
- ［Shockwave Flash］を選択し、［無効化する］をクリックします。
Adobe Flash Player を再び有効にするには、手順 1 から 3 を繰り返して［Shockwave Flash］を選択し、［常に有効化する］をクリックします。
シマンテックおよびノートンによる保護対策
シマンテック製品およびノートン製品は、この脆弱性の悪用コードが仕掛けられているランディングページを次の IPS シグネチャによって遮断します。
この脆弱性については現在調査中です。詳しいことがわかり次第お知らせいたします。
2015 年 2 月 3 日更新:
Adobe 社は、影響を受けるバージョンから Flash Player バージョン 11.x を除外しました。バージョン 11.x およびそれ以前は、CVE-2015-0313 によって影響を受ける機能をサポートしていません。
2015 年 2 月 4 日更新:
シマンテックは、次の保護対策を追加しました。
2015 年 2 月 4 日更新:
シマンテックは、次の保護対策を追加しました。
2015 年 2 月 5 日更新:
Adobe 社は、次の更新情報を公開しました。
「Flash Player デスクトップランタイムの自動更新を有効にしている場合、2 月 4 日にバージョン 16.0.0.305 を受け取ります。このバージョンは CVE-2015-0313 の修正プログラムです。 Adobe は 2 月 5 日に更新を手動でダウンロードできるようにする予定です。弊社は配信パートナーと連係し、Google Chrome ならびに Internet Explorer の 10 と 11 で更新可能にします。Flash Player の更新に関する詳細については、この投稿を参照してください。
（Users who have enabled auto-update for the Flash Player desktop runtime will be receiving version 16.0.0.305 beginning on February 4. This version includes a fix for CVE-2015-0313. Adobe expects to have an update available for manual download on February 5, and we are working with our distribution partners to make the update available in Google Chrome and Internet Explorer 10 and 11. For more information on updating Flash Player please refer to this post.）」
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。