Trusted Design

解説:

CVE-2015-3113について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2015-3113は、Adobe Flash Playerに存在するヒープベースのバッファオーバーフローの脆弱性です。この脆弱性は、リモートの攻撃者が任意のコードを実行することを可能にします。2015年6月には既に限定的な標的型攻撃で悪用が確認されていました。

• CWE識別子: CWE-119 (Improper Restriction of Operations within a Memory Buffer)

1.1 影響

この脆弱性が悪用されると、攻撃者は影響を受けるシステムを完全に制御できる可能性があります。 攻撃は、悪意のある細工が施されたFlashファイル（SWF/FLV）をユーザーに開かせることで実行され、コマンド＆コントロール（C2）の確立やバックドアの設置に利用されました。

1.2 深刻度

CVSSスコアは9.8（Critical）と評価されており、非常に深刻な脆弱性です。 米国CISA（Cybersecurity and Infrastructure Security Agency）の「Known Exploited Vulnerabilities Catalog」にも追加されており、2022年4月13日時点で既に悪用されていることが確認されています。EPSS（Exploit Prediction Scoring System）の悪用確率は100%と非常に高い値を示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Windows、OS X (Macintosh)、およびLinux版のAdobe Flash Playerに影響します。

具体的なバージョンは以下の通りです。

• WindowsおよびOS X (Macintosh):
  • Adobe Flash Player 13.0.0.296 より前のバージョン
  • Adobe Flash Player 14.x から 18.x のうち、18.0.0.194 より前のバージョン
  • Adobe Flash Player Extended Support Release バージョン 13.0.0.292 およびそれ以前の13.xバージョン
  • Adobe Flash Player 18.0.0.161 およびそれ以前のバージョン
  • 特に、Windows 7以前のInternet Explorer、およびWindows XP上のFirefoxを使用しているシステムが標的となることが知られていました。
• Linux:
  • Adobe Flash Player 11.2.202.468 より前のバージョン
  • Adobe Flash Player 11.2.202.466 およびそれ以前の11.xバージョン
• その他、SUSE Linux Enterprise、openSUSE Evergreen、HP Matrix Operating Environment、およびRed Hat Enterprise Linuxも影響を受けます。

2.2 影響を受ける設定

特定の環境設定に依存するものではなく、影響を受けるバージョンのAdobe Flash Playerがインストールされている場合に脆弱となります。攻撃の多くは、悪意のあるJavaScriptが埋め込まれたウェブページへの誘導や、フィッシングメールを介してマルウェア感染したSWF/FLVファイルをダウンロードさせることで実行されました。

3. 影響を受けた時の兆候

この脆弱性は、限定的かつ標的型の攻撃で悪用され、攻撃者はシステムを密かに制御しようとしました。そのため、一般的なユーザーが直接的な兆候を特定することは困難な場合があります。

一般的な兆候としては以下が考えられますが、これらは本脆弱性に限定されるものではありません。 * 身に覚えのない通信（特に外部へのコマンド＆コントロール通信）の発生 * 不審なファイルのダウンロードや実行、またはバックドアプログラムの存在 * システムのパフォーマンス低下や予期せぬ動作（ただし、これは攻撃者が意図しない場合や、マルウェアの性質による）

4. 推奨対策

4.1 本対策

Adobe Flash Playerは2020年12月31日にサポートを終了しており、現在はAdobeによって提供されていません。 したがって、最も強力な対策は、Adobe Flash Playerの使用を完全に停止し、システムからアンインストールすることです。

もし何らかの理由でFlash Playerがシステムに残っている場合は、以下のバージョン以降に更新することで脆弱性は解消されます。 * Adobe Flash Player 13.0.0.296 以降 * Adobe Flash Player 18.0.0.194 以降 (WindowsおよびOS X) * Adobe Flash Player 11.2.202.468 以降 (Linux)

Adobeは本脆弱性に対応するセキュリティアップデート「APSB15-14」を公開しています。

4.2 暫定回避策（緩和策）

Adobe Flash Playerがすでにサポート終了しているため、暫定回避策ではなく、使用停止が強く推奨されます。

ただし、Flash Playerが稼働している環境での一般的な緩和策としては以下が挙げられます。 * Flashコンテンツの実行制限: ブラウザの設定でFlashコンテンツの自動実行を無効にし、「クリックして再生」などの手動許可モデルに設定する。 * メールや不審なサイトの閲覧に注意: 攻撃の多くがフィッシングメールや悪意のあるウェブサイトを介して行われたため、不審なリンクや添付ファイルを開かないようユーザーへの注意喚起と教育を徹底する。 * メール添付ファイルの自動スキャン: メールゲートウェイなどでPDFなどの添付ファイルを自動スキャンし、不審なファイルをブロックする。

その他解説すべき観点

• ゼロデイ攻撃での悪用: 本脆弱性は、パッチが公開される前から実際の攻撃で悪用されていた「ゼロデイ脆弱性」でした。
• 攻撃グループ: この攻撃は、中国を拠点とする高度な持続的脅威（APT）グループ「APT3」（別名「UPS」）によって実行されたとされています。
• 標的となった業界: 航空宇宙、防衛、建築・設計、ハイテク、通信、輸送業界などがフィッシングメールを通じて標的となりました。

参照したサイト

• CVE-2015-3113 - CVE Record
• CVE-2015-3113 Report - Details, Severity, & Advisories | Twingate
• Known Exploited Vulnerabilities CVE-2015-3113 - Mappings Explorer
• PCを乗っ取られる凶悪な脆弱性が「Flash Player」にあると判明、Adobeが緊急パッチを配布中 - GIGAZINE
• Operation Clandestine Wolf — Adobe Flash Zero-Day in APT3 Phishing Campaign | Mandiant | Google Cloud Blog
• CVE-2015-3113 - patch Adobe Flash Player now - Senserva
• CVE-2015-3113: Critical Flash Player Vulnerability Being Exploited - The Shield Journal
• Adobe fixed CVE-2015-3113 that is being exploited in the wild - Security Affairs
• Adobe Releases Emergency Patch for Flash Zero-Day Vulnerability - The Hacker News
• Flashへのゼロデイ攻撃、中国のグループが多方面に展開 - Security NEXT
• Adobe Reader zero-day vulnerability in active exploitation | Sophos
• 脆弱性対応とは？CVE対応とパッチ管理の実務フロー | BBSec SQAT®.jp
• セキュリティ対策の各種サービス｜サイバー攻撃・情報漏えい保険『サイバープロテククター』