Trusted Design

CVE-2015-5122 の詳細

CVEの情報

説明:
Use-after-free vulnerability in the DisplayObject class in the ActionScript 3 (AS3) implementation in Adobe Flash Player 13.x through 13.0.0.302 on Windows and OS X, 14.x through 18.0.0.203 on Windows and OS X, 11.x through 11.2.202.481 on Linux, and 12.x through 18.0.0.204 on Linux Chrome installations allows remote attackers to execute arbitrary code or cause a denial of service (memory corruption) via crafted Flash content that leverages improper handling of the opaqueBackground property, as exploited in the wild in July 2015.

CVE更新日: 2015-07-14 10:59:00.213000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-04-13

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.938920000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2015-5122に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2015-5122は、Adobe Flash PlayerにおけるUse-after-freeの脆弱性です。ActionScript 3 (AS3) のDisplayObjectクラスのopaqueBackgroundプロパティの不適切な処理に起因します。攻撃者は、特別に細工されたFlashコンテンツを介してこの脆弱性を悪用できます。

1.1 影響

本脆弱性が悪用されると、リモートの攻撃者が影響を受けるシステム上で任意のコードを実行したり、メモリ破損によるサービス拒否（DoS）を引き起こしたりする可能性があります。悪用が失敗した場合でも、サービス拒否の状態が発生する可能性があります。

1.2 深刻度

  • CVSSスコア: CVSS v3.1スコアは9.8 (Critical) と評価されています。CISAによるCVSSスコアは7.8ですが、NVDおよびその他のベンダーでは9.8となっています。
  • EPSS: 2026年9月24日時点でEPSS (Exploit Prediction Scoring System) スコアは94.0%であり、悪用される可能性が高いことを示しています。別の情報源では97.3%（99.9パーセンタイル）と報告されており、世界で最も悪用されているソフトウェアの脆弱性の一つとされています。
  • 悪用状況: 本脆弱性は2015年7月に実環境で活発に悪用されたことが確認されており、CISAのKnown Exploited Vulnerabilities (KEV) カタログにリストされています（2022年4月13日追加）。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のバージョンのAdobe Flash Playerが影響を受けます。

  • Windows および OS X 版 Adobe Flash Player 13.x から 13.0.0.302 まで
  • Windows および OS X 版 Adobe Flash Player 14.x から 18.0.0.203 まで
  • Linux 版 Adobe Flash Player 11.x から 11.2.202.481 まで
  • Linux (Google Chrome インストール版) 版 Adobe Flash Player 12.x から 18.0.0.204 まで

2.2 影響を受ける設定

本脆弱性は、Adobe Flash PlayerのActionScript 3 (AS3) 実装におけるDisplayObjectクラスのopaqueBackgroundプロパティの処理に存在します。特別に細工されたFlashコンテンツがこのプロパティの不適切なハンドリングを悪用します。

3. 影響を受けた時の兆候

影響を受けた際の具体的な兆候については、検索結果に詳細な記述はありませんが、任意のコード実行によりシステムが不正に制御されたり、メモリ破損によりアプリケーションがクラッシュしたりする可能性があります。

4. 推奨対策

4.1 本対策

Adobe Flash Playerを修正済みのバージョンにアップデートすることが唯一の恒久的な対策です。ただし、Adobe Flash Playerは既にサポート終了（End-of-Life, EOL）している製品であるため、引き続き使用している場合は直ちにシステムから切断することが推奨されます。

4.2 暫定回避策（緩和策）

  • IPS (Intrusion Prevention System) などのセキュリティゲートウェイで、この脆弱性の悪用を試みる攻撃を検出し、ブロックする保護機能が提供されている場合があります。
  • パッチが適用できない、またはすぐに適用が困難な場合には、設定変更、アクセス制限、機能停止、ネットワーク分離、WAFやEDRなどの補完策を検討することも一般的な脆弱性対策として挙げられます。しかし、Flash PlayerがEOLであることを考慮すると、使用を停止することが最も推奨される対応です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る