Trusted Design

解説:

CVE-2016-7855は、Adobe Flash PlayerにおけるUse-after-freeの脆弱性です。以下に観点ごとに解説します。

1. 脆弱性の概要

CVE-2016-7855は、Adobe Flash Playerに存在するUse-after-freeの脆弱性です。この脆弱性は、2016年10月に実際に悪用されていることが確認されました。リモートの攻撃者が、特定のFlashコンテンツを介して任意のコードを実行する可能性があります。Microsoftの分析によると、ActionScriptランタイムコードに影響を及ぼし、STRONTIUM（APT28、Fancy Bearとしても知られる）と呼ばれる活動グループによって、標的型スピアフィッシングキャンペーンで悪用されました。

1.1 影響

この脆弱性が悪用されると、リモートの攻撃者は影響を受けるシステム上で任意のコードを実行できます。これにより、現在のユーザーと同じユーザー権限を取得される可能性があります。もし現在のユーザーが管理者権限を持っていた場合、攻撃者はシステムを完全に制御し、プログラムのインストール、データの閲覧・変更・削除、または完全なユーザー権限を持つ新しいアカウントの作成が可能になります。

1.2 深刻度

• CVSS v3.1 Base Score: 8.8 (High)
  • Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
• CVSS v3.0 Base Score: 8.8 (High)
• CVSS v2.0 Base Score: 6.8 (Medium)

Tenableのプラグインでもこの脆弱性の深刻度は「高」と評価されています。Microsoftは、このFlash Playerの脆弱性を含むセキュリティ更新プログラムを「Critical（緊急）」と評価しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• WindowsおよびOS X版のAdobe Flash Player 23.0.0.205より前のバージョン
• Linux版のAdobe Flash Player 11.2.202.643より前のバージョン

Microsoftの製品では、Windows 8.1、Windows Server 2012、Windows Server 2012 R2、Windows RT 8.1、およびWindows 10にインストールされているAdobe Flash Playerが影響を受けました。また、Windows VistaからWindows 10 Anniversary UpdateまでのWindowsカーネルの脆弱性と組み合わせて攻撃された事例も報告されています。

2.2 影響を受ける設定

この脆弱性はAdobe Flash Playerそのものに存在するため、特定のFlash Playerの設定が直接的に脆弱性の発生を左右することはありません。通常、Flashコンテンツの表示が可能な設定であれば影響を受ける可能性があります。攻撃は、ユーザーが悪意を持って作成されたウェブページを閲覧したり、悪意のあるファイルを開いたりすることで引き起こされます。

3. 影響を受けた時の兆候

この脆弱性が悪用された場合、攻撃者はリモートで任意のコードを実行できるため、以下のような兆候が現れる可能性があります。

• 身に覚えのないプログラムのインストール
• データの不正な閲覧、変更、削除
• 新しいユーザーアカウントの作成
• システムへのバックドアのインストールと実行

ただし、この特定のCVEに固有の明確な兆候が詳細に記述されている情報は見つかりませんでした。

4. 推奨対策

4.1 本対策

• Adobe Flash Playerの更新: Adobeは、この脆弱性を修正するアップデート（WindowsおよびOS X版は23.0.0.205以降、Linux版は11.2.202.643以降）をリリースしました。影響を受けるシステムには、速やかにこれらのバージョンに更新することが推奨されます。
• Microsoftセキュリティ更新プログラムの適用: Microsoftは、Internet Explorer 10、Internet Explorer 11、およびMicrosoft Edgeに組み込まれているAdobe Flash Playerの脆弱性に対処するため、セキュリティ更新プログラム（例：MS16-141 / KB3201860）をリリースしました。Windowsシステムを使用している場合は、これらの更新プログラムを適用する必要があります。
• Flash Playerの廃止: Adobe Flash Playerは現在サポートが終了（End-of-Life, EOL）しているため、CISAは、現在も使用されている場合はシステムから切断することを強く推奨しています。

4.2 暫定回避策（緩和策）

• Flash Playerの無効化またはアンインストール: Adobe Flash Playerのサポートが終了しているため、可能な限りFlash Playerを無効化またはアンインストールすることが最も効果的な緩和策となります。
• サンドボックス化された環境での実行: 当時、Windows 10 Anniversary Update上のMicrosoft Edgeは、観測された攻撃から保護されていることが確認されています。これは、最新のブラウザやサンドボックス技術が一部の攻撃に対して緩和策となりうることを示唆しています。
• 不審なFlashコンテンツのブロック: 不明な送信元からのFlashコンテンツを開かない、または悪意のあるウェブサイトを閲覧しないようにユーザーに注意を促すことが重要です。

その他解説すべき観点

• ゼロデイ攻撃: この脆弱性は、修正プログラムが公開される前に攻撃に利用されたゼロデイ脆弱性でした。
• 連携攻撃: この脆弱性は、通常、Windowsカーネルの別の脆弱性（権限昇格のため）と組み合わせて利用され、より深刻な侵害を引き起こすことが報告されています。

参照サイト

• CVE-2016-7855 - CVE Record
• CVE-2016-7855: Use After Free | Rapid7 Vulnerability Database
• CVE-2016-7855 Plugins | Tenable®
• Our commitment to our customers' security | Microsoft Security Blog
• Microsoft Patch Tuesday - November 2016 - Cisco Talos Blog
• CVE-2016-7855 Detail - NVD - NIST (Note: This is the same as but explicitly cited for CVSS v3.0 score)
• Microsoft Security Bulletin MS16-119 - Critical
• Microsoft Security Bulletin MS16-132 - Critical
• Microsoft Security Bulletin MS16-064 - Critical
• Known Exploited Vulnerabilities Catalog | CISA
• CERT-In Vulnerability Note CIVN-2016-0320