2016.07.25(月)

Adobe Flash Playerのオブジェクト混乱の脆弱性の検証レポートを発表(NTTデータ先端技術)

脆弱性と脅威 セキュリティホール・脆弱性

NTTデータ先端技術株式会社は6月29日、「Adobe Flash Player」のオブジェクト混乱の脆弱性(CVE-2012-0779)に関する検証レポートを公開した。本脆弱性は、RTMP _errorメッセージの処理をする際にオブジェクトの混乱が引き起こされることに起因するもの。Adobe社は5月4日にセキュリティ情報を公開しているが、実際に細工されたMicrosoft Officeファイルをメールに添付した攻撃が観測されている。細工されたファイルには悪意のあるサイトのFlashコンテンツへのリンクが埋め込まれており、添付ファイルを開いたユーザと同じ権限を奪取される。

同社では今回、この脆弱性の再現性について検証した。検証は、Windows XP SP3 Internet Explorer 7上のFlash Player 11.1.102.63を検証ターゲットシステムとして実施した。ターゲットシステムに、悪意のあるユーザが用意したWebページを閲覧させることで攻撃コードを実行させ、ターゲットシステムにおいて任意のコードを実行させる。ターゲットシステムは、悪意のあるユーザが用意したホストに制御が誘導される。今回の検証に用いたコードは、ターゲットシステム上から特定のサーバ、ポートへコネクションを確立させるよう誘導し、システムの制御を奪取するもの。これにより、リモートからターゲットシステムが操作可能となる。検証の結果、誘導先のコンピュータ(Debian)のコンソール上にターゲットシステム(Windows XP)のプロンプトが表示され、ターゲットシステムの制御の奪取に成功した。
《吉澤 亨史》

編集部おすすめの記事

特集

脆弱性と脅威 アクセスランキング

  1. 政府が「ポケモンGO」に関する注意喚起を発表、9つの注意点を記載(NISC)

    政府が「ポケモンGO」に関する注意喚起を発表、9つの注意点を記載(NISC)

  2. 位置情報連携型ゲームのプレイにおける注意喚起、個人情報の流出や非正規アプリも(NTTドコモ、KDDI、ソフトバンク、TCA)

    位置情報連携型ゲームのプレイにおける注意喚起、個人情報の流出や非正規アプリも(NTTドコモ、KDDI、ソフトバンク、TCA)

  3. 「Android OS 4.1.2以前」にCRIME攻撃を受ける脆弱性(JVN)

    「Android OS 4.1.2以前」にCRIME攻撃を受ける脆弱性(JVN)

  4. 「ポケモンGO」の話題性を悪用した攻撃者について警告(トレンドマイクロ)

  5. トロイの木馬型マルウェアが仕込まれたAndroid版「Pokemon GO」に注意喚起(McAfee)

  6. CGIにおいて環境変数HTTP_PROXYを使用するWebサーバ、Webアプリに脆弱性(JPCERT/CC)

  7. 「Pokemon GO」で身元バレの可能性、個人情報の管理に注意

  8. Vプリカを騙るメールに注意喚起、本文に再び“流失”の表記(フィッシング対策協議会)

  9. Javaに複数の脆弱性、早急な修正プログラムの適用を呼びかけ(IPA)

  10. GNU Wget においてファイル名検証不備により任意のファイルがダウンロードさせられてしまう脆弱性

アクセスランキングをもっと見る

★~(=^・ω・^)ノ☆★ Scanもアップグレードしませんか?7月末まで Scan PREMIUM が最大 5,000 円割引となるキャンペーンを実施中 ★★
★~(=^・ω・^)ノ☆★ Scanもアップグレードしませんか?7月末まで Scan PREMIUM が最大 5,000 円割引となるキャンペーンを実施中 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事はもちろんのこと、掲載された全ての限定コンテンツに、フルアクセスが可能となります。

×