Trusted Design

解説:

CVE-2015-3043は、Adobe Flash Playerに存在した深刻なメモリ破損の脆弱性です。

1. 脆弱性の概要

CVE-2015-3043は、Adobe Flash Playerにおけるメモリ破損の脆弱性です。この脆弱性を悪用されると、攻撃者は任意のコードを実行したり、サービス拒否（メモリ破損）を引き起こしたりする可能性があります。 2015年4月には、この脆弱性が実際に悪用されている「ゼロデイ」攻撃が確認されました。 攻撃者は、ユーザーを悪意のあるウェブページに誘導することで、この脆弱性を利用していました。

1.1 影響

この脆弱性が悪用されると、以下のような影響が発生する可能性があります。

• リモートコード実行 (RCE): 攻撃者が影響を受けるシステムを完全に制御し、任意のコードを実行する可能性があります。
• サービス拒否 (Denial of Service - DoS): メモリ破損により、Flash Playerや関連アプリケーションがクラッシュする可能性があります。
• マルウェア感染: ユーザーのPCにマルウェア（例: Cryptolockerなどのランサムウェア）がダウンロードされ、実行される可能性があります。

1.2 深刻度

• CVSS v3.1 基本評価基準:
  • NVD (NIST) の評価: 9.8 (緊急 - CRITICAL)
    • ベクトル: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • CISA-ADP の評価: 7.8 (重要 - HIGH)
    • ベクトル: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
• SUSEは、この問題を「中程度の深刻度」と評価していますが、NVDおよびCISAのより高いスコアも記載しています。
• Microsoftは、この脆弱性を含むAdobe Flash Playerのパッチ (APS15-06) を「緊急」と評価しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• Windows
• OS X
• Linux

2.2 影響を受ける設定

以下のバージョンのAdobe Flash Playerが影響を受けます。

• Adobe Flash Player 13.0.0.281より前のバージョン
• WindowsおよびOS X上のAdobe Flash Player 14.xから17.xにおいて、バージョン17.0.0.169より前のバージョン
• Linux上のAdobe Flash Playerにおいて、バージョン11.2.202.457より前のバージョン
• NVDでは、具体的に以下のバージョンも影響を受けると記載されています: 13.0.0.264 (およびそれ以前)、14.0.0.125、14.0.0.145、14.0.0.176、14.0.0.179、15.0.0.152、15.0.0.167、15.0.0.189、15.0.0.223、15.0.0.239、15.0.0.246、16.0.0.235、16.0.0.257、16.0.0.287、16.0.0.296、17.0.0.134。
• SUSE Linux Enterprise Desktop 12, SUSE Linux Enterprise Server 12, SUSE Linux Enterprise Server for SAP Applications 12, SUSE Linux Enterprise Workstation Extension 12 の flash-player パッケージも影響を受けました。

3. 影響を受けた時の兆候

• システムのクラッシュが発生する。
• 悪意のある、またはハッキングされたウェブページを閲覧した後、意図しないマルウェアがPCにインストールされる。
• 身代金要求型マルウェア（例: Cryptolocker）によりデータが暗号化される。
• PCのパフォーマンス低下や異常な動作。

4. 推奨対策

4.1 本対策

• Flash Playerのアップデート: 脆弱性が修正された以下のバージョンにAdobe Flash Playerを更新してください。
  • Adobe Flash Player 13.0.0.281以降
  • Adobe Flash Player 17.0.0.169以降 (WindowsおよびOS X向け14.x-17.xの場合)
  • Adobe Flash Player 11.2.202.457以降 (Linux向けの場合)
• 製品の利用停止とアンインストール: Adobe Flash Playerは現在サポートが終了（End-of-Life）しているため、システムから完全に切断・アンインストールすることが強く推奨されます。
• システムとソフトウェアの常に最新の状態に保つ: 使用しているOSや他のソフトウェアも常に最新の状態に保つことが重要です。
• 包括的なセキュリティソフトウェアの利用: Microsoft Defender Antivirus、Microsoft Security Essentialsなどの信頼できるセキュリティソフトウェアを使用し、システムを保護してください。

4.2 暫定回避策（緩和策）

• Flashコンテンツの「クリックして再生」設定の有効化: ブラウザでFlashコンテンツが自動的に実行されないよう、「クリックして再生」機能を有効にすることで、意図しないFlashコンテンツの実行を防ぐことができます。
• Adobe Flash Playerのアンインストール: 可能な限り、Adobe Flash Playerをシステムから完全にアンインストールすることが最も効果的な緩和策となります。
• セキュリティソフトウェアの導入: 脅威を検出し、攻撃を阻止できるセキュリティソフトウェアを導入してください。

他に解説すべき観点

• ゼロデイ攻撃: この脆弱性は、修正パッチが提供される前に攻撃者によって積極的に悪用された、いわゆる「ゼロデイ」脆弱性でした。
• エクスプロイトキットでの利用: CVE-2015-3043は、「Angler」などの悪名高いエクスプロイトキットに組み込まれ、広く悪用されました。
• 製品のサポート終了: Adobe Flash Player自体が2020年末にサポートを終了しており、現時点ではこの脆弱性に対する新たなパッチは提供されていません。したがって、最も推奨される対策は製品のアンインストールです。

参照したサイト

• NVD-CVE-2015-3043 - NIST
• CVE-2015-3043 Common Vulnerabilities and Exposures - SUSE
• Exploit:SWF/CVE-2015-3043 threat description - Microsoft Security Intelligence
• Microsoft Patch Tuesday April 2015 closes 0-day holes: 4 of 11 patches rated critical
• Flash Greets 2015 With New Zero-Day Vulnerability | Trend Micro (UK)
• Adobe Issues Emergency Flash Update - Bitdefender
• Gone in a Flash: Top 10 Vulnerabilities Used by Exploit Kits - Recorded Future
• Warning over Adobe Flash vulnerability revealed by Hacking Team leak - The Guardian