Trusted Design

CVE-2016-4117 の詳細

CVEの情報

説明:
Adobe Flash Player 21.0.0.226 and earlier allows remote attackers to execute arbitrary code via unspecified vectors, as exploited in the wild in May 2016.

CVE更新日: 2016-05-11 01:59:46.137000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-03-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.943540000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2016-4117について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2016-4117は、Adobe Flash Playerに存在するゼロデイの深刻な脆弱性です。この脆弱性はタイプコンフュージョン（Type Confusion）のエラーに起因します。攻撃者は特別に細工された.swfファイルを介して、遠隔から任意のコードを実行したり、システムをクラッシュさせたり、影響を受けるシステムを制御する可能性がありました。この脆弱性はFireEye社のGenwei Jiang氏によって発見され、当時すでに標的型攻撃で悪用されていることが確認されていました。

1.1 影響

  • 任意のコード実行 (Remote Code Execution): 攻撃者は脆弱性を悪用することで、影響を受けるシステム上で任意のコードを実行できます。
  • システムクラッシュ (System Crash): 脆弱性の悪用により、システムがクラッシュする可能性があります。
  • システム制御の奪取 (Attacker Control): 任意のコード実行が成功した場合、攻撃者は影響を受けるシステムを完全に制御できる可能性があります。
  • 情報漏洩および改ざん (Confidentiality/Integrity): 高いレベルの機密性と完全性が侵害される可能性があります。
  • この脆弱性は、発見時に既に「in the wild」で悪用が確認されていたゼロデイ脆弱性でした。

1.2 深刻度

  • 深刻度: 緊急 (Critical)
  • CVSS v3.1 ベーススコア: 9.8 (Critical)
    • Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (ただし、NIST NVDの記載では、UI:Nとなっており、ユーザーインタラクションなしで悪用可能とされています。しかし、他の情報源ではUI:A (User Interaction: Required) となっている場合もあります。)
  • CISAのKnown Exploited Vulnerabilities (KEV) カタログに2022年3月3日に追加されており、実際に標的型攻撃で悪用された証拠があることが示されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のOS上のAdobe Flash Playerが影響を受けます。 * Windows * Macintosh (macOS) * Linux * Chrome OS

2.2 影響を受ける設定

  • 影響を受けるソフトウェア: Adobe Flash Player 21.0.0.226 およびそれ以前のバージョン。
  • 影響を受けるLinuxディストリビューション:
    • Arch Linux
    • Gentoo Linux
    • Red Hat Enterprise Linux Server/Desktop/Workstation
    • OpenSUSE
    • SUSE Linux
  • Internet Explorer 10, Internet Explorer 11, および Microsoft Edgeに組み込まれたAdobe Flashライブラリも影響を受けました。

3. 影響を受けた時の兆候

この脆弱性は、特別に細工されたウェブサイトにアクセスさせるなどの方法で悪用される可能性があります。 直接的なユーザー向けの「兆候」は明記されていませんが、悪用が成功した場合は以下の事象が発生する可能性があります。 * Adobe Flash Playerを使用しているアプリケーションのクラッシュ * システムの予期せぬ動作、不安定化 * 不正なプログラムの実行、またはシステムの制御が奪われることによる異常な挙動

4. 推奨対策

4.1 本対策

  • Adobe Flash Playerのアップデート:
    • Adobe Flash Playerをバージョン 21.0.0.242 またはそれ以降にアップデートしてください。
    • Linux向けのExtended Support Release (ESR) の場合は、11.2.202.616 またはそれ以降にアップデートしてください。
    • Red Hat Enterprise Linuxユーザーは、RHSA-2016-1079を適用してください。
  • Microsoft Security Updateの適用: Windows環境でInternet ExplorerやEdgeに組み込まれたFlash Playerを利用している場合、Microsoft Security Update (MS16-064、更新プログラム3163207) を適用してください。
  • Adobe Flash PlayerはEOL (End-of-Life) です: Adobe Flash Playerは2020年末にサポートが終了しており、使用を中止し、システムから完全にアンインストールすることが強く推奨されます。サポート終了製品を引き続き使用している場合は、ネットワークから切断すべきです。

4.2 暫定回避策（緩和策）

  • Adobe Flash Playerの無効化またはアンインストール: Adobe Flash Playerはサポートが終了しているため、最も推奨される対策は使用を完全に中止し、システムからアンインストールすることです。これが最も効果的な回避策となります。
  • ActiveXコントロールの無効化: Internet Explorerユーザーの場合、Flash Playerに関連するActiveXコントロールを無効化することで、脆弱性の悪用を制限できる可能性があります。ただし、これによりFlashコンテンツが再生されなくなります。
  • 信頼できないウェブサイトへのアクセス回避: 攻撃は通常、悪意のあるウェブサイトにユーザーを誘導することによって行われるため、不審なリンクやウェブサイトへのアクセスを避けることが重要です。

その他に解説すべき観点

  • 脆弱性の種類: CWE-843 (Type Confusion) に分類されます。
  • ゼロデイ攻撃: この脆弱性は、修正パッチが公開される前に積極的に悪用されていたゼロデイ脆弱性として知られています。
  • 攻撃グループ: Kasperskyの研究者によると、BlackOasis APTグループがCVE-2016-4117を悪用していたことが報告されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る