「Flash」はもう怖くて使えない？　相次ぎ発見される脆弱性で心配の声

伊Hacking Teamの情報漏えい事件から発覚した「Adobe Flash Player」に関する脆弱性が問題となっている。セキュリティ専門家らは、被害の拡大に警戒を強めている。現在の状況と今後の見通しを整理する。

公開 2015年07月17日 15時01分

著者

Maxim Tamarov

[TechTarget]

印刷する Googleで優先するソースとして追加

Flash Playerに関するセキュリティ情報《クリックで拡大》

　イタリアのセキュリティ企業であるHacking Teamの情報漏えい事件から、「Adobe Flash Player」に関して2つのゼロデイ脆弱性が発見された。セキュリティ専門家らは悪意ある活動の阻止に奔走する一方で、脆弱性の数はさらに増える恐れがあると警戒する。

　トレンドマイクロのピーター・パイ氏と米FireEyeのデーネシュ・キザキアン氏は、「CVE-2015-5123」と「CVE-2015-5122」の脆弱性について報告した。米Adobe Systemsはセキュリティ情報（APSA15-04）を公開しており、深刻度は4段階基準で最高の“Critical”で、悪用されるとシステムをクラッシュされたり、システムを乗っ取られる恐れがあると警告している。

「Flash」の行方は？

脆弱性対策を迫られるベンダー

狙われる企業

　Adobeは7月14日（米国時間）、このUse After Free（解放後使用）とメモリ破壊に関する2つの脆弱性に対応する修正パッチをリリースした。しかしながら、セキュリティ専門家らは、Hacking Teamから先日流出したデータから、さらなる脆弱性の悪用につながる可能があると懸念を抱く。

　「脆弱性に関する情報は、400Gバイトにも及ぶ流出データの中に埋もれている」とトレンドマイクロでグローバル脅威コミュニケーション担当マネジャーを務めるクリストファー・バッド氏は話す。「われわれやFireEyeなどのセキュリティ企業は、流出データを精査してどういった情報が含まれていたかを調べている」

　バッド氏によると、Hacking Teamから流出したデータをハッカーやサイバー犯罪者が細かく調べることで、さらなる脆弱性の発見につながる可能性が高いという。

　「流出データはさまざまなTorrentサイトにアップロードされている。Hacking Teamはそれらを消そうとしたが、いったんインターネットにリークしてしまうと、完全に取り消すことは不可能だ」（バッド氏）

　フランスのセキュリティ専門家であるKafeine氏によると、既に複数のエクスプロイトキットで、今回発覚した脆弱性が統合されていることを確認したという。

　Adobeが修正パッチをリリースする前の7月13日、Kafeine氏は米TechTargetに対して「CVE-2015-5122の脆弱性を悪用するエクスプロイトキットは『Angler』と『Neutrino』のみである」とメール取材に応じた。

　Hacking Teamの情報漏えいから発覚した「CVE-2015-5119」の脆弱性は、Angler、Neutrino、「Hanjuan」「RIG」「Nuclear Pack」など、ほとんど全ての既存のエクスプロイトキットに広まっている。新たに見つかった直近2件の脆弱性も同じ状態になるだろう。

　現在、Adobeは脆弱性の悪用を避けるため、Flash Playerをアップデートするよう呼び掛けている。「われわれが確認している攻撃の大部分は、最新のセキュリティアップデートが適用されていない状態のソフトウェアを狙ったものだ」とAdobeでコーポレートコミュニケーション担当シニアマネジャーを務めるヴィブケ・リップス氏は話す。

　「Adobeでは常々、最新のアップデートがリリースされたらすぐにインストールするというセキュリティのベストプラクティスに従うようユーザーに強く推奨している。悪意ある行為に対する最良の防御策だ」（リップス氏）

　セキュリティ専門家らはまた、脆弱性を緩和するセキュリティツールのインストールを勧めている。FlashやMicrosoft製品などで発見されるゼロデイ脆弱性に有効だという。

　「こうしたセキュリティツールは、従来型のウイルス対策ツールのようなシグネチャ技術を使うのではなく、ASLR／DEPのバイパスや悪意あるシェルコード、アプリケーションの不適当な行動などをチェックする複数レイヤーの仕組みとなっている」と米Malwarebytesでシニアセキュリティ研究者を務めるジェローム・セグラ氏は話す。

　「いったんシステムが感染してしまうと手遅れになってしまうかもしれない。ユーザーは、セキュリティの脅威を未然に防ぐためにプロアクティブな方法を取り入れる必要がある」（セグラ氏）

印刷する