Trusted DesignCVE-2014-0496 の詳細
CVEの情報
説明:
Use-after-free vulnerability in Adobe Reader and Acrobat 10.x before 10.1.9 and 11.x before 11.0.06 on Windows and Mac OS X allows attackers to execute arbitrary code via unspecified vectors.
CVE更新日: 2014-01-15 16:13:04.100000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2022-03-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.399800000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2014-0496は、Adobe ReaderおよびAcrobat製品におけるUse-after-freeの脆弱性です。
1. 脆弱性の概要
1.1 影響
Adobe ReaderおよびAcrobatに存在するUse-after-freeの脆弱性により、攻撃者が任意のコードを実行できる可能性があります。また、サービス運用妨害（メモリ破損）の状態に陥る可能性もあります。
1.2 深刻度
この脆弱性の深刻度は、CVSS v2.0の基本スコアで10.0 (危険/HIGH) と評価されています。 CVSS v3.1では、基本スコアが8.8 (HIGH) と評価されています。 この脆弱性はCWE-399 (Use-after-free) に分類されています。 また、CISAのKnown Exploited Vulnerabilities (KEV) カタログにリストされており、実際の攻撃で悪用されたことが確認されています。 EPSS (Exploit Prediction Scoring System) における悪用確率は40.0%と高く評価されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
WindowsおよびMac OS X
2.2 影響を受ける設定
影響を受ける設定については、具体的な記述は確認できませんでした。不明。
2.3 影響を受ける製品バージョン
3. 影響を受けた時の兆候
明確な兆候に関する具体的な記述は確認できませんでした。不明。 ただし、任意のコード実行が可能となるため、システムの異常な動作、アプリケーションのクラッシュ、予期せぬファイルの生成、ネットワーク通信の増加などが観察される可能性があります。
4. 推奨対策
4.1 本対策
ベンダーであるAdobeの指示に従い、ソフトウェアを速やかにアップデートすることが推奨されます。具体的には、Adobe ReaderおよびAcrobatを以下のバージョン以降に更新する必要があります。 * Adobe Reader 10.1.9以降 * Adobe Reader 11.0.06以降 * Adobe Acrobat 10.1.9以降 * Adobe Acrobat 11.0.06以降
4.2 暫定回避策（緩和策）
CISA KEVに登録されているため、この脆弱性は緊急の変更として扱い、速やかにパッチを適用するか、影響を受けるシステムを隔離し、過去の侵害の有無を調査することが推奨されます。 具体的な暫定回避策についての詳細な情報は見当たりませんが、信頼できないソースからのPDFファイルを開かない、不審なリンクをクリックしないといった一般的なセキュリティ対策を徹底することが重要です。
5. その他解説すべき観点
CISA Known Exploited Vulnerabilities (KEV) への登録 CVE-2014-0496は、米国サイバーセキュリティ・社会基盤安全保障庁 (CISA) のKnown Exploited Vulnerabilities (KEV) カタログに登録されています。これは、この脆弱性が実際に攻撃者によって悪用されたことが確認されていることを意味し、対象となる組織は速やかに対応する必要があります。
参照したサイト