Trusted Design

解説:

CVE-2023-26369は、Adobe AcrobatおよびReaderに存在する、実際に悪用が確認されている重大な脆弱性です。以下にその詳細を解説します。

---

1. 脆弱性の概要

CVE-2023-26369は、Adobe AcrobatおよびAcrobat Readerに影響を与える境界外書き込み（Out-of-Bounds Write）の脆弱性です。 このメモリ破損の欠陥は、特別に細工されたPDFファイルを処理する際に発生し、現在のユーザーのコンテキストで任意のコード実行につながる可能性があります。 この脆弱性は、TrueTypeフォント（TTF）の解析時に、AdobeのlibCoolTypeライブラリ内のsfac_GetSbitBitmap関数で境界外書き込みが発生することに起因します。 共通脆弱性タイプ一覧（CWE）ではCWE-787（Out-of-Bounds Write）に分類されています。

1.1 影響

この脆弱性が悪用された場合、攻撃者は被害者のシステム上で任意のコードを実行できる可能性があります。 攻撃が成功すると、攻撃者は現在のユーザーと同等のコード実行権限を獲得し、もしユーザーが管理者権限を持っていた場合、システム全体の侵害につながる可能性があります。 この脆弱性の悪用にはユーザーの操作が必要であり、具体的には被害者が悪意のあるPDFファイルを開く必要があります。 フィッシングキャンペーンやドライブバイダウンロードが主な攻撃ベクトルとなる可能性があります。

1.2 深刻度

CVE-2023-26369は、CVSSv3.1のベーススコアで7.8と評価されており、「クリティカル（Critical）」な脆弱性に分類されます。 米国サイバーセキュリティ・社会基盤安全保障庁（CISA）の「既知の悪用された脆弱性（KEV）カタログ」にも追加されており、活発な攻撃が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、WindowsおよびmacOSプラットフォームで動作するAdobe AcrobatおよびAcrobat Readerの複数のバージョンに影響を与えます。

2.2 影響を受ける設定

以下のバージョンのAdobe製品が影響を受けます。

• Adobe Acrobat DC (Continuous): バージョン 23.003.20284 以前
• Adobe Acrobat Reader DC (Continuous): バージョン 23.003.20284 以前
• Adobe Acrobat (Classic 2020): バージョン 20.005.30516（Mac版）、20.005.30514（Windows版）およびそれ以前
• Adobe Acrobat Reader (Classic 2020): バージョン 20.005.30516（Mac版）、20.005.30514（Windows版）およびそれ以前

3. 影響を受けた時の兆候

現時点では、この脆弱性に関連する具体的な侵害の兆候（Indicators of Compromise: IoCs）は公開されていません。 しかし、悪意のあるPDFファイルを開くことで攻撃がトリガーされるため、不審なファイルの開封や、通常とは異なるアプリケーションの動作などが間接的な兆候となり得ます。

4. 推奨対策

4.1 本対策

Adobe AcrobatおよびReaderを最新バージョンにアップデートすることが強く推奨されます。

• Adobe Acrobat Reader DC (Continuous Track): バージョン 23.003.20288 以降、または 23.006.20320 以降に更新してください。
• Adobe Acrobat Reader (Classic Track): バージョン 20.005.30524 以降に更新してください。

アップデートは以下の方法で実施できます。

• 手動更新: 製品内で「ヘルプ」>「アップデートを確認」を選択します。
• 自動更新: 製品のアップデートが検出されると、ユーザーの操作なしに自動的にアップデートされます。
• フルインストーラー: Acrobat Readerダウンロードセンターから最新のフルインストーラーをダウンロードできます。
• IT管理者向け: 管理環境では、AIP-GPO、bootstrapper、SCUP/SCCM（Windows版）、またはApple Remote Desktop、SSH（macOS版）などの方法でアップデートをインストールできます。

4.2 暫定回避策（緩和策）

パッチ適用がすぐに困難な場合、以下の暫定的な緩和策を検討してください。

• 信頼できないPDFファイルの開封禁止: 信頼できないソースから提供されたPDFファイルは絶対に開かないでください。
• セキュリティ制御の強化: メールフィルタリングやPDF処理のためのサンドボックス環境の利用など、追加のセキュリティ制御を検討してください。
• 不審なプロセスのブロック: PowerShell、CMD、.exeファイル、JavaScriptなど、信頼されていないプロセスが実行されないように、許可リスト（Allowlisting）ベースの制御を導入することを検討してください。
• サンドボックス技術の利用: PDFリーダーに対するサンドボックス技術（例: ThreatLockerのRingfencing™）は、アプリケーションが不審なWebサイトやIPアドレスへのアクセスを試みるのを防ぎ、潜在的な脆弱性から保護できます。

他に解説すべき観点

• 積極的な悪用: この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログに登録されており、サイバー攻撃グループLazarus Groupによって実際に悪用されていることが確認されています。 このため、緊急性の高い対応が求められます。

---

参照したサイト

• CVE-2023-26369: Adobe Acrobat RCE Vulnerability Explained - SentinelOne
• CVE-2023-26369: Adobe Acrobat PDF Reader RCE when processing TTF fonts | 0-days In-the-Wild
• CVE-2023-26369 - Exploits & Severity - Feedly
• Arbitrary Code Execution Vulnerability in Adobe Products (CVE-2023-26369) - CUHK ITSC
• CVE-2023-26369: One-click PDF exploits - ThreatLocker
• CVE-2023-26369 Archives - NSFOCUS
• NVD - CVE-2023-26369 - NIST
• 「Adobe Acrobat/Reader」にゼロデイ脆弱性 - 早急にアップデートを - Security NEXT
• 米当局、脆弱性の悪用について警戒呼びかけ - 1週間で13件 - Security NEXT
• 脆弱性対策情報データベース - JVN iPedia
• Update Adobe Acrobat and Reader to Patch Actively Exploited Vulnerability
• CVE-2023-26369: Adobe Acrobat — out-of-bounds write from a document | SCRTY:CRDS
• 重要なセキュリティ情報 2023年度 | アーカイブ | IPA 独立行政法人 情報処理推進機構
• Adobe セキュリティ速報