アドビシステムズは13日、コンテンツ再生ソフト「Flash Player」と、PDF閲覧ソフト「Acrobat Reader DC/Reader」の最新版を公開した。どちらも深刻な脆弱性が修正されており、同社はアップデートを呼びかけているが、最新版のFlash Playerで早くも脆弱性が見つかり、これを悪用する攻撃も確認されている。
■「Flash Player」――アップデートは必須、しかし最新版にも脆弱性が
Windows版、Macintosh版、Internet Explorer/Edge/Google Chrome搭載版、Linux版、延長サポート版のFlash Playerが13日に公開された。アップデートの優先度は最も高い「1」で、緊急度は「クリティカル」。
Windows版、Mac版、Internet Explorer/Edge/Google Chrome搭載版の更新後のバージョンは「19.0.0.207」となる。Linux版の最新版は「11.2.202.535」、延長サポート版の最新版は「18.0.0.252」。
最新版では、解放したメモリーの再使用の問題、バッファオーバーフローが起こる問題、メモリー破壊の問題などコード実行につながるおそれのある問題を含め、13件の脆弱性が修正されている。
上記のとおり危険な問題が修正されているため、アップデートは必ず実行していただきたいのだが、最新版もすでに問題を抱えている。トレンドマイクロが14日、標的型サイバー攻撃キャンペーン「Pawn Storm 作戦」において、Flash Playerの未修整の脆弱性が利用されていると発表している。この脆弱性は公開されたばかりの最新版「19.0.0.207」と、ひとつ前のバージョン「19.0.0.185」に影響を与え、すでにアドビに報告済みだという。トレンドマイクロによると「Pawn Storm 作戦」における直近の事例では、複数国の外務省が標的型メールを受け取っていたという。
システムにインストールされているFlash Playerのバージョンは、下記のバージョン確認ページにアクセスするか、コントロールパネルの「Flash Player」の[更新]タブで確認できる。Windows版、Mac版の最新版は、同社サイトで配布されている。
Internet Explorer 10/11およびEdge用のFlashPlayerについては、Windows Updateを通じて最新版が配布されている。Google Chrome用のFlash Playerについては、最新版を同梱した「Google Chrome 46.0.2490.71」が公開されており、自動的に更新が行われる。
・Security updates available for Adobe Flash Player［英文］（アドビ）
https://helpx.adobe.com/security/products/flash-player/apsb15-25.html
・Flash Playerのバージョン確認（アドビ）
http://www.adobe.com/jp/software/flash/about/
・Flash Playerのダウンロード（アドビ）
https://get.adobe.com/jp/flashplayer/
・セキュリティアドバイザリ（2755801）Internet ExplorerおよびMicrosoft Edge上のAdobe Flash Playerの脆弱性に対応する更新プログラム（マイクロソフト）
https://technet.microsoft.com/library/security/2755801
・Stable Channel Update[英文]（Google Chrome Releases）
http://googlechromereleases.blogspot.jp/2015/10/stable-channel-update.html
・Adobe Flash Playerのゼロデイ攻撃を最新の標的型サイバー攻撃キャンペーン「Pawn Storm作戦」で確認（トレンドマイクロ）
http://blog.trendmicro.co.jp/archives/12354
■「Acrobat Reader DC」「Reader XI」「Reader X」
アップデートの対象となるのは、Windows版とMac版のAcrobat Reader DC、Reader XI、Reader X。更新後は、Acrobat Reader DCの継続トラックが「2015.009.20069」、クラシックトラックが「2015.006.30094」、Reader XIが「11.0.13」、Reader Xが「10.1.16」となる。
アップデートの優先度は3段階中2番目に高い「2」で、緊急度は「クリティカル」。
解放したメモリーの再使用の問題、ヒープベースのバッファオーバーフローが起こる問題、メモリー破壊の問題などコード実行につながるおそれのある危険な問題を含め、56件の脆弱性が修正されている。
使用中のReaderのバージョンを確認するには、Readerを起動し、[ヘルプ]メニューの[Adobe Acrobat Reader DCについて（または Adobe Reader XIについて/Xについて）]を開く。最新版への更新は、[ヘルプ]メニューの[アップデートの有無をチェック]から実行できる。同社のサイトから最新のAcrobat Reader DCをダウンロードすることもできる。
・Security Updates Available for Adobe Acrobat and Reader[英文]（アドビ）
https://helpx.adobe.com/security/products/acrobat/apsb15-24.html
・Adobe Acrobat Reader DCのダウンロード（アドビ）
https://get.adobe.com/jp/reader/
（2015/10/14 ネットセキュリティニュース）