Trusted Design

CVE-2015-4495 の詳細

CVEの情報

説明:
The PDF reader in Mozilla Firefox before 39.0.3, Firefox ESR 38.x before 38.1.1, and Firefox OS before 2.2 allows remote attackers to bypass the Same Origin Policy, and read arbitrary files or gain privileges, via vectors involving crafted JavaScript code and a native setter, as exploited in the wild in August 2015.

CVE更新日: 2015-08-08 00:59:04.597000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2022-05-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.685580000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2015-4495は、Mozilla Firefox、Firefox ESR、およびFirefox OSのPDFリーダーにおける脆弱性です。

1. 脆弱性の概要

Mozilla Firefox、Firefox ESR、およびFirefox OSに存在するPDFリーダーの脆弱性により、リモートの攻撃者がSame Origin Policyをバイパスし、任意のファイルを読み取ったり、権限を昇格させたりすることが可能になります。これは、巧妙に細工されたJavaScriptコードとネイティブセッターを用いることで引き起こされます。この脆弱性は2015年8月に実際に悪用されました。

1.1 影響

  • Same Origin Policyのバイパス
  • 任意のファイルの読み取り
  • 権限の昇格

1.2 深刻度

  • NVDによる深刻度: HIGH
  • CVSS v3.1 スコア: 8.8 (High)
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
  • CISA Known Exploited Vulnerabilities (KEV) カタログに掲載されており、活発に悪用されたことが示されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンではなく、以下のブラウザおよびOSのバージョンが影響を受けます。

  • Mozilla Firefox 39.0.3より前のバージョン
  • Firefox ESR 38.x 38.1.1より前のバージョン
  • Firefox OS 2.2より前のバージョン

2.2 影響を受ける設定

不明

3. 影響を受けた時の兆候

この脆弱性は、攻撃者がSame Origin Policyをバイパスし、ファイル読み取りや権限昇格を行うことを可能にするため、直接的なユーザーインターフェース上の明確な兆候は不明です。

4. 推奨対策

4.1 本対策

ベンダーの指示に従い、ソフトウェアをアップデートしてください。

  • Mozilla Firefoxをバージョン39.0.3以降にアップデートする。
  • Firefox ESRをバージョン38.1.1以降にアップデートする。
  • Firefox OSをバージョン2.2以降にアップデートする。

4.2 暫定回避策（緩和策）

不明

その他に解説すべき観点

  • 悪用状況: この脆弱性は、2015年8月に実際に悪用されたことが確認されています。CISAのKnown Exploited Vulnerabilities (KEV) カタログにも掲載されており、即座にパッチを適用すべき脆弱性として認識されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る