Trusted DesignCVE-2021-28550 の詳細
CVEの情報
説明:
Acrobat Reader DC versions versions 2021.001.20150 (and earlier), 2020.001.30020 (and earlier) and 2017.011.30194 (and earlier) are affected by a Use After Free vulnerability. An unauthenticated attacker could leverage this vulnerability to achieve arbitrary code execution in the context of the current user. Exploitation of this issue requires user interaction in that a victim must open a malicious file.
CVE更新日: 2021-09-02 17:15:08.500000
CVSSバージョン: 3.1
CVSSスコア: 8.8
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.518510000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2021-28550は、Adobe AcrobatおよびReaderに存在する、リモートからのコード実行につながる解放済みメモリ使用（Use-After-Free）の脆弱性です。この脆弱性は、すでに実際の攻撃で悪用されていることが確認されています。
1. 脆弱性の概要
CVE-2021-28550は、Adobe Acrobat Reader DCおよび関連するAdobe PDF製品に影響を与える解放済みメモリ使用（Use-After-Free）の脆弱性です。 認証されていない攻撃者がこの脆弱性を悪用すると、現在のユーザーのコンテキストで任意のコードを実行する可能性があります。 この問題の悪用にはユーザー操作が必要であり、被害者が悪意のあるファイルを開く必要があります。
アドビは、この脆弱性（CVE-2021-28550）がWindows環境のAdobe Readerユーザーを標的とした限定的な攻撃で悪用されたことを確認しています。 また、このCVEはCISA（サイバーセキュリティ・インフラセキュリティ庁）の既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に登録されており、組織は高い優先度で対処することが求められています。
1.1 影響
この脆弱性が悪用された場合、現在のユーザーの権限で任意のコードが実行される可能性があります。
1.2 深刻度
深刻度はクリティカル（Critical）と評価されており、CVSS v3スコアは8.8 (High)です。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性は、WindowsおよびmacOSの両プラットフォームに影響を及ぼします。
2.2 影響を受ける設定
特定の「設定」が影響を受けるわけではなく、以下のAdobe AcrobatおよびReaderのバージョンが脆弱性の影響を受けます。
3. 影響を受けた時の兆候
この脆弱性が悪用された際の具体的な兆候は、攻撃者が実行する任意のコードに依存するため、一概に特定することは困難です。通常、意図しないプログラムの実行、システムの異常な動作、個人情報の窃取、あるいはシステムへの不正なアクセスなどが発生する可能性があります。
4. 推奨対策
4.1 本対策
Adobe AcrobatおよびReaderを以下の最新バージョンに速やかに更新することが推奨されます。
アップデートは、製品を起動後、メニューから「ヘルプ」>「アップデートの有無をチェック」を選択するか、Adobe Acrobat Readerダウンロードセンターから最新のインストーラーをダウンロードすることで実施できます。 IT管理者は、AIP-GPO、bootstrapper、SCUP/SCCM（Windows）、またはApple Remote DesktopおよびSSH（macOS）などの展開方法で更新を適用できます。
4.2 暫定回避策（緩和策）
この脆弱性に対する具体的な暫定回避策は、ベンダーからは提供されていません。 ただし、この脆弱性の悪用にはユーザーが悪意のあるファイルを開く必要があるため、不明な送信元からのPDFファイルや信頼できないコンテンツを開かないようにすることが、一般的な緩和策として有効です。
参照したサイト