Trusted DesignCVE-2017-11292 の詳細
CVEの情報
説明:
Adobe Flash Player version 27.0.0.159 and earlier has a flawed bytecode verification procedure, which allows for an untrusted value to be used in the calculation of an array index. This can lead to type confusion, and successful exploitation could lead to arbitrary code execution.
CVE更新日: 2017-10-22 19:29:00.237000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2022-03-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.118850000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2017-11292について、以下の観点で解説します。
1. 脆弱性の概要
Adobe Flash Playerにおけるバイトコード検証手順の欠陥に起因する脆弱性です。信頼できない値が配列インデックスの計算に使用されることで型混同が発生し、結果として任意のコード実行につながる可能性があります。
1.1 影響
この脆弱性が悪用された場合、攻撃者によって任意のコードが実行される可能性があります。
1.2 深刻度
2. 対象となる環境
2.1 影響を受ける製品およびバージョン
Adobe Flash Player version 27.0.0.159 およびそれ以前のバージョンが影響を受けます。 具体的には、Windows、macOS、Linux、Chrome OSプラットフォーム向けのAdobe Flash Playerが対象となります。
2.2 影響を受ける設定
特定の「影響を受ける設定」は明確に記載されていませんが、この脆弱性は通常、悪意のあるMicrosoft Wordドキュメントを介して配信され、Flashの脆弱性を悪用するActiveXオブジェクトが埋め込まれる形式で悪用されました。
3. 影響を受けた時の兆候
攻撃は通常、標的型攻撃として行われ、悪意のあるMicrosoft Wordドキュメントを通じてFinSpy（FinFisher）と呼ばれる商業スパイウェアがインストールされます。 マルウェアがインストールされると、C&C（Command and Control）サーバーに接続し、指示を待機したり、情報を窃取したりする可能性があります。同時に、被害者には正規のドキュメントに見せかけた「おとり（デコイ）文書」が表示されます。
4. 推奨対策
4.1 本対策
Adobe Flash Playerをバージョン 27.0.0.170 以降にアップデートすることが推奨されました。 しかし、Adobe Flash Playerは既に2020年12月31日をもってEOL (End-of-Life) となっており、サポートが終了しています。この製品がシステムに残っている場合は、直ちに切断またはアンインストールするべきです。
4.2 暫定回避策（緩和策）
Flash Player自体がEOLであるため、根本的な対策はアンインストールです。暫定的な回避策として、以下の一般的なセキュリティプラクティスが挙げられます。 * 不審なメールやドキュメントは開かない。 * 信頼できないWebサイトへのアクセスを避ける。
他に解説すべき観点
参照したサイト