PR

 米Adobe Systemsは現地時間11月14日,同社の「Flash Player」に複数のセキュリティ・ホールが見つかったことを明らかにした。セキュリティ・ホールを悪用されると,クライアントが要求するHTTPヘッダーを改ざんされる恐れがあるという。その結果,最悪の場合,セッションを乗っ取られる可能性などがある。影響を受けるのはFlash Player 9.x/8.x/7.x。対策は,セキュリティ・ホールを修正したバージョン9.0.28.0にアップグレードすること。

 Flash Playerには,クライアントから送信するHTTPヘッダーの取り扱いに問題があることが明らかとなった。このため攻撃者は,クライアントが送信するHTTPヘッダーに任意のコマンドなどを挿入して,いわゆる「HTTP Request Splitting攻撃」を仕掛けることができるという。この攻撃は,クロスサイト・スクリプティング(XSS)攻撃やクロスサイト・リクエスト・フォージェリ(CSRF)攻撃などに悪用可能。最悪の場合,ユーザーのセッションを乗っ取られたり,ユーザーの意図しない処理を実行させられたりする恐れがある。

 今回のセキュリティ・ホールを悪用されても,「ファイルを開くだけ」あるいは「Webページにアクセスするだけ」で悪質なプログラムを実行させられることはない。このため同社では,今回のセキュリティ・ホールの緊急度(Severity)を,4段階評価で上から2番目の「重要(Important)」に設定している。同社の定義では,「悪用された場合,機密データへのアクセスを含むデータ・セキュリティや,ユーザー・コンピュータ上の処理資源に対して悪影響を及ぼす可能性を生じる脆弱性」に対して「重要」を設定するという(同社の定義定義の日本語訳)。

 今回のセキュリティ・ホールを修正した最新版のFlash Player 9.0.28.0は同社のダウンロード・サイトから入手できる。現在インストールされているFlash Playerのバージョンは,「Macromedia Flash Player」ページにアクセスすれば確認できる。

 なお今回のセキュリティ・ホール(APSB06-18)は,マイクロソフトが11月の“月例パッチ”の一つとしてリリースしたFlash Playerで修正されているものとは別物(関連記事:マイクロソフトが月例パッチを公開)。同パッチ(MS06-069のパッチ)で修正されているのは,Adobeが2006年9月に公表したセキュリティ・ホール(APSB06-11)である(関連記事:Flash Playerに危険なセキュリティ・ホール)。MS06-069のパッチを適用した環境でも,今回のセキュリティ・ホールは存在する。

Adobe Systemsの情報