Trusted Design

解説:

CVE-2021-21017について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2021-21017は、Adobe AcrobatおよびAdobe Acrobat Reader製品に影響を与えるヒープベースのバッファオーバーフローの脆弱性です。 攻撃者は、悪意のある細工されたPDFファイルを開かせることで、現在のユーザーのコンテキストで任意のコード実行を達成する可能性があります。 この脆弱性は、PDFドキュメント構造の処理中に境界チェックが不十分であることに起因します。

1.1 影響 攻撃に成功すると、現在のユーザーのコンテキストで任意のコード実行が可能になります。

1.2 深刻度 この脆弱性は、Adobeによって「Critical（緊急）」と評価されています。 また、NISTのNVDではCVSS v3.1の基本スコアが8.8（HIGH）と評価されており、CVSSベクトルはCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:Hです。

2. 対象となる環境

2.1 影響を受けるOSバージョン WindowsおよびmacOSが影響を受けます。

2.2 影響を受ける設定 以下のバージョンのAdobe AcrobatおよびReaderが影響を受けます。

• Adobe Acrobat DC (Continuous Track): 2020.013.20074 およびそれ以前のバージョン
• Adobe Acrobat Reader DC (Continuous Track): 2020.013.20074 およびそれ以前のバージョン
• Adobe Acrobat 2020 (Classic 2020 Track): 2020.001.30018 およびそれ以前のバージョン
• Adobe Acrobat Reader 2020 (Classic 2020 Track): 2020.001.30018 およびそれ以前のバージョン
• Adobe Acrobat 2017 (Classic 2017 Track): 2017.011.30188 およびそれ以前のバージョン
• Adobe Acrobat Reader 2017 (Classic 2017 Track): 2017.011.30188 およびそれ以前のバージョン

3. 影響を受けた時の兆候

不明。通常、このような任意のコード実行の脆弱性が悪用された場合、アプリケーションの予期せぬクラッシュや異常終了、またはシステムパフォーマンスの低下といった間接的な兆候が見られる可能性がありますが、CVE-2021-21017に特有の明確な兆候は報告されていません。攻撃はユーザーに気づかれずにバックグラウンドで実行される可能性があります。

4. 推奨対策

4.1 本対策 Adobe AcrobatおよびReaderを、影響を受けるバージョンよりも新しい最新バージョンにアップデートすることが強く推奨されます。

• エンドユーザーの場合:
  • 製品内で「ヘルプ」メニューから「アップデートを確認」を選択し、手動でアップデートを適用します。
  • アップデートが検出されると、製品は自動的にアップデートされる場合があります。
  • または、Adobe Acrobat Readerダウンロードセンターから最新版のフルインストーラーをダウンロードしてインストールします。
• IT管理者（管理環境）の場合:
  • AIP-GPO、bootstrapper、SCUP/SCCM（Windows）、またはApple Remote Desktop、SSH（macOS）など、組織で採用している方法でアップデートをインストールします。
  • インストーラーへのリンクについては、各リリースノートのバージョンを参照してください。

4.2 暫定回避策（緩和策） 不明。本CVEに特化した公式な暫定回避策は公開されていません。一般的には、信頼できないソースからのPDFファイルを開かない、サンドボックス環境でPDFファイルを開く、またはPDFプレビュー機能を無効にするといった対策が考えられますが、本脆弱性に対する有効性は保証されません。

その他解説すべき観点

• ゼロデイ攻撃と悪用: この脆弱性は、2021年2月9日にAdobeがセキュリティパッチを公開した時点で既に「ゼロデイ脆弱性」として、Windowsユーザーを標的とした限定的な攻撃で悪用されていることが確認されています。
• CISAのKnown Exploited Vulnerabilitiesカタログへの登録: CVE-2021-21017は、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）のKnown Exploited Vulnerabilitiesカタログにリストされており、実際の攻撃での悪用が確認されている脆弱性として、迅速な対応が求められます。
• ユーザーインタラクション: この脆弱性の悪用には、ユーザーが細工されたファイル（通常は悪意のあるPDFドキュメント）を開くという操作が必要です。

---

参照したサイト:

• CVE-2021-21017: Adobe Acrobat Buffer Overflow Vulnerability - SentinelOne
• NVD-CVE-2021-21017 - NIST
• Adobe Reader Critical Zero-Day Vulnerability - eSentire
• CVE-2021-21017 - Adobe Security Bulletin
• CVE-2021-21017: Adobe Acrobat and Reader Heap-based Buffer Overflow Vulnerability
• Adobe Acrobat および Reader の脆弱性対策について(APSB21-09)(CVE-2021-21017等) - IPA
• 高危保安警報(A21-02-06): Adobe Reader/Acrobat 多個漏洞 - GovCERT.HK
• Adobe セキュリティ速報