Trusted Design

CVE-2015-5123 の詳細

CVEの情報

説明:
Use-after-free vulnerability in the BitmapData class in the ActionScript 3 (AS3) implementation in Adobe Flash Player 13.x through 13.0.0.302 on Windows and OS X, 14.x through 18.0.0.203 on Windows and OS X, 11.x through 11.2.202.481 on Linux, and 12.x through 18.0.0.204 on Linux Chrome installations allows remote attackers to execute arbitrary code or cause a denial of service (memory corruption) via crafted Flash content that overrides a valueOf function, as exploited in the wild in July 2015.

CVE更新日: 2015-07-14 10:59:01.337000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-04-13

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.188300000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2015-5123について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2015-5123は、Adobe Flash PlayerのActionScript 3 (AS3) の実装におけるBitmapDataクラスに存在する解放済みメモリ使用 (Use-after-free) の脆弱性です。この脆弱性は、細工されたFlashコンテンツがvalueOf関数をオーバーライドすることで、リモートの攻撃者が任意のコードを実行したり、サービス拒否（メモリ破損）を引き起こしたりする可能性があります。

1.1 影響

この脆弱性が悪用された場合、認証されていないリモートの攻撃者が、ユーザーのブラウザに細工されたFlashコンテンツを配信することで、脆弱なシステム上で任意のコードを実行したり、Flash Playerプロセスをクラッシュさせたりする可能性があります。 他の脆弱性と組み合わされることで、影響を受けるシステムを完全に制御される可能性もあります。

1.2 深刻度

この脆弱性の深刻度は「Critical（緊急）」と評価されています。 CVSS v3.1の基本スコアは9.8（緊急）です。 Red HatによるCVSS v2スコアは6.8（中）ですが、オープンソースコンポーネントのCVSSスコアはベンダー固有の要因によって異なる場合がある点に注意が必要です。 この脆弱性は2015年7月に実際に悪用されたことが確認されており、CISAのKnown Exploited Vulnerabilities (KEV) カタログにも追加されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、以下のバージョンのAdobe Flash Playerに影響を与えます。 * Windows および OS X 上の Adobe Flash Player 13.x から 13.0.0.302 まで * Windows および OS X 上の Adobe Flash Player 14.x から 18.0.0.203 まで * Linux 上の Adobe Flash Player 11.x から 11.2.202.481 まで * Linux Chrome インストール環境上の Adobe Flash Player 12.x から 18.0.0.204 まで 基本的に、Windows、Mac、LinuxにインストールされているAdobe Flash Playerのすべてのバージョン（パッチ適用済みバージョン以前）が影響を受けます。

2.2 影響を受ける設定

脆弱性は、Adobe Flash PlayerのActionScript 3 (AS3) 実装内のBitmapDataクラスに存在し、valueOf関数を上書きする細工されたFlashコンテンツによってトリガーされます。 そのため、Adobe Flash Playerがインストールされ、特にウェブブラウザで有効になっているすべての環境が影響を受けます。

3. 影響を受けた時の兆候

攻撃を受けた場合、Flash Playerのクラッシュ（機能停止） や、予期しないシステム動作、不正なデータアクセス、悪意のあるソフトウェアのインストールなど、システムが完全に制御された兆候が見られる可能性があります。

4. 推奨対策

4.1 本対策

Adobe Flash Playerのセキュリティアップデートを適用してください。CVE-2015-5119、CVE-2015-5122、CVE-2015-5123の脆弱性は、Adobe Security Bulletins APSB15-16およびAPSB15-18で対処されています。 これらのセキュリティ速報を確認し、必要なアップデートを適用することが推奨されます。

4.2 暫定回避策（緩和策）

  • 業務上Flash Playerが不要な場合は、制限するか無効にしてください。
  • ブラウザのセキュリティ制御機能を使用して、Flashの実行を信頼できるサイトのみに限定してください。
  • 攻撃の兆候がないか監視してください。
  • 特に細工されたFlashコンテンツを含む可能性がある、信頼できないウェブサイトへのアクセスやファイルの開封を避けてください。

5. 他に解説すべき観点

  • 積極的な悪用: この脆弱性は2015年7月に実際に悪用されており、Hacking Teamのデータ漏洩によってエクスプロイトコードが公開されました。
  • 他の脆弱性との組み合わせ: この脆弱性は、Microsoft Windows Adobe Type Managerの特権昇格の脆弱性（CVE-2015-2387）など、他の脆弱性と組み合わせて悪用されることで、より高い権限を取得し、システムを完全に制御するために利用されることがありました。 これは、個々の脆弱性へのパッチ適用だけでなく、包括的なセキュリティ対策の重要性を示しています。
  • 製品のライフサイクル: Adobe Flash Playerは現在サポート終了 (End-of-Life) となっており、使用している場合は速やかに切断またはアンインストールすることが強く推奨されます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る