Trusted Design

CVE-2015-5119 の詳細

CVEの情報

説明:
Use-after-free vulnerability in the ByteArray class in the ActionScript 3 (AS3) implementation in Adobe Flash Player 13.x through 13.0.0.296 and 14.x through 18.0.0.194 on Windows and OS X and 11.x through 11.2.202.468 on Linux allows remote attackers to execute arbitrary code or cause a denial of service (memory corruption) via crafted Flash content that overrides a valueOf function, as exploited in the wild in July 2015.

CVE更新日: 2015-07-08 14:59:05.677000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-03-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.993440000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2015-5119に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2015-5119は、Adobe Flash PlayerのActionScript 3 (AS3) 実装におけるByteArrayクラスに存在する重大なUse-after-free (解放後使用) の脆弱性です。この脆弱性は、細工されたFlashコンテンツがvalueOf関数を上書きすることで、リモートからの任意のコード実行やサービス拒否（メモリ破損）を引き起こす可能性があります。

この脆弱性は2015年7月に実世界で活発に悪用されていることが確認されており、Hacking Teamのデータ漏洩によってゼロデイ脆弱性として公開されました。Angler Exploit Kitなどのエクスプロイトキットにも迅速に組み込まれ、広く悪用されました。攻撃の複雑さは低く、高度なスキルは必要なく、ユーザーの操作も不要であるため、特に危険な脆弱性でした。

1.1 影響

  • リモートからの任意のコード実行 (RCE)
  • サービス拒否 (メモリ破損)
  • 攻撃者が影響を受けるシステムを完全に制御する可能性
  • 機密性、完全性、可用性に対して重大な影響を与える可能性
  • 標的マシン上で管理者権限のシェルを取得される可能性

1.2 深刻度

  • CVSS v2スコア: 9.8 (Critical)
  • 深刻度: Critical (緊急) または High (高)

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、以下のバージョンのAdobe Flash Playerに影響を与えます。 * Windows および OS X: Adobe Flash Player 13.xから13.0.0.296、および14.xから18.0.0.194までのバージョン。 * Linux: Adobe Flash Player 11.xから11.2.202.468までのバージョン。

2.2 影響を受ける設定

この脆弱性はAdobe Flash PlayerのActionScript 3 (AS3) 実装内のByteArrayクラスに存在し、特別な設定に依存するものではありません。細工されたFlashコンテンツを実行できる環境であれば影響を受けます。

3. 影響を受けた時の兆候

  • Flashコンテンツの再生中にアプリケーションが予期せず終了する (クラッシュ)。
  • システムパフォーマンスの低下や不安定な動作。
  • 身に覚えのないプログラムの実行や、マルウェア感染の兆候。

4. 推奨対策

4.1 本対策

  • Adobe Flash Playerの更新:
    • Adobe Flash Playerをバージョン18.0.0.203以降に更新してください。
    • Linuxの場合は11.2.202.481以降に更新してください。
    • Flash Playerの自動更新機能を有効にすることが推奨されます。
  • Adobe Flash Playerのアンインストール:
    • Adobe Flash Playerは既にサポート終了（End-of-Life）を迎えているため、最も確実な対策は、使用している場合は直ちに切断またはアンインストールすることです。これにより、攻撃対象領域が完全に排除されます。

4.2 暫定回避策（緩和策）

  • ブラウザからのFlash Playerプラグインの無効化または削除: Flashを使用しない場合は、ブラウザからFlash Playerプラグインを無効化または削除することでリスクを排除できます。
  • Flashコンテンツの「クリックして再生」機能の有効化: これにより、Flashコンテンツが自動的に実行されることを防ぎ、ユーザーが意識的にクリックした場合にのみ再生されるようにすることで、悪意のあるFlashファイルによる露出を減らすことができます。
  • ネットワーク侵入検知/防御システム (IDS/IPS) の利用: 一部のセキュリティベンダーは、このエクスプロイト試行を検出するためのシグネチャを提供しています。
  • 不審なFlashコンテンツへの注意: 不審なウェブサイトへのアクセスや、標的型フィッシングメール内のリンクをクリックして悪意のあるFlashコンテンツがロードされることを避けるよう注意してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る