Trusted Design

解説:

CVE-2011-2462に関する調査結果を以下に解説します。

1. 脆弱性の概要

この脆弱性（CVE-2011-2462）は、Adobe ReaderおよびAdobe AcrobatのUniversal 3D (U3D) コンポーネントにおけるメモリ破損の脆弱性です。U3Dは3Dグラフィックを表現するために使用されるファイル形式です。この脆弱性は、U3Dデータの処理における境界エラー（boundary error）が原因で発生します。攻撃者は、特別に細工されたPDFファイルを作成し、標的のユーザーに開かせることで、メモリ破損を引き起こし、任意のコードを実行する可能性があります。この脆弱性は、2011年12月に実環境で悪用されていることが確認されています。

1.1 影響 攻撃者が細工されたPDFファイルをユーザーに開かせることに成功すると、現在のユーザーの権限で任意のコードが実行される可能性があります。これにより、システムの制御を奪われたり、サービス拒否（アプリケーションのクラッシュ）が発生したりする可能性があります。

1.2 深刻度 この脆弱性は、深刻度が「緊急 (Critical)」と評価されています。CVSS v2基本評価値は9.8 (緊急) です。また、CVSS v4のスコアは8.4とされています。この脆弱性は、CISAの既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に掲載されており、実際に攻撃で悪用されたことが報告されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン 以下のAdobe製品およびバージョンが影響を受けます。

• WindowsおよびMacintosh版 Adobe Reader X (10.1.1) およびそれ以前のバージョン
• Windows、Macintosh、Linux、UNIX版 Adobe Reader 9.x (9.4.6) およびそれ以前のバージョン
• WindowsおよびMacintosh版 Adobe Acrobat X (10.1.1) およびそれ以前のバージョン
• WindowsおよびMacintosh版 Adobe Acrobat 9.x (9.4.6) およびそれ以前のバージョン

注：Adobe Reader for Android および Adobe Flash Player はこの問題の影響を受けません。

2.2 影響を受ける設定 本脆弱性は、Adobe ReaderおよびAcrobatのU3Dコンポーネントの処理に起因します。特定のソフトウェアバージョンを使用している場合に影響を受けます。

3. 影響を受けた時の兆候

• Adobe ReaderまたはAcrobatアプリケーションが予期せずクラッシュする可能性があります。
• 細工されたPDFファイルを開いた後、ユーザーの権限で任意のコードが実行され、システムが不正に操作される可能性があります。
• 攻撃者は、この脆弱性を利用して、トロイの木馬（例: Sykipot）をシステムに侵入させ、iexplore.exe、firefox.exe、outlook.exeなどのプロセスにDLLファイルを注入し、HTTPS経由で外部と通信するなどの活動を行う可能性があります。

4. 推奨対策

4.1 本対策 脆弱性を修正した最新バージョンへのアップデートが強く推奨されます。

• Windows、Macintosh、およびLinux版のAdobe Reader 9.xユーザーは、バージョン9.5以降にアップデートしてください。
• WindowsおよびMacintosh版のAdobe Reader X (10.x) ユーザーは、バージョン10.1.2以降にアップデートしてください。
• WindowsおよびMacintosh版のAdobe Acrobat 9.xユーザーは、バージョン9.5以降にアップデートしてください。
• WindowsおよびMacintosh版のAdobe Acrobat X (10.x) ユーザーは、バージョン10.1.2以降にアップデートしてください。

Adobeは2011年12月6日にこの脆弱性に対するパッチを公開しています。

4.2 暫定回避策（緩和策） 以下の緩和策を適用することで、本脆弱性の影響を軽減できる可能性があります。

• Adobe Reader X / Acrobat Xの「保護モード（Protected Mode/View）」機能を有効にする：これらのバージョンでは、保護モードがデフォルトで有効になっており、この種の脆弱性の悪用を防ぐことができます。
• 不審なPDFファイルを開かない：不審なメールに添付されているPDFファイルや、不審なウェブサイトに掲載されているPDFファイルは開かないようにしてください。
• JavaScriptを無効にする：Adobe ReaderおよびAcrobatでJavaScriptを無効にすることも、一般的なセキュリティ対策として有効ですが、U3D脆弱性に対する直接的な緩和策ではない可能性があります。
• ウェブブラウザ上でのPDFファイルの自動表示を無効にする：ブラウザの設定を変更し、PDFファイルが自動的に開かれないようにすることで、意図しない脆弱性の悪用を防げます。
• Enhanced Mitigation Experience Toolkit (EMET) を利用する：EMETのような緩和策ツールを利用することも有効です。

参照サイト

• Memory corruption in Adobe Reader and Adobe Acrobat - CVE-2011-2462
• CVE-2011-2462 – Adobe Reader and Acrobat Universal 3D Memory… - UK Cyber Defence
• Adobe Zero Day CVE-2011-2462 - with samples - contagio
• CVE-2011-2462 — Patch first | CVE Explorer | Peter Bassill
• Adobe ReaderおよびAcrobatにおけるU3Dの処理の脆弱性（CVE-2011-2462）に関する検証レポート
• CVE-2011-2462: Adobe Reader and Acrobat Universal 3D Memory Corruption | IntelFusions
• APSA11-04 - Security Advisory for Adobe Reader and Acrobat
• Adobe Reader 及び Acrobat の脆弱性に関する注意喚起 - JPCERT コーディネーションセンター
• Static analysis of a CVE-2011-2462 PDF exploit - eternal-todo.com
• Dynamic analysis of a CVE-2011-2462 PDF exploit - eternal-todo.com
• JVNVU#264729: Adobe Reader および Acrobat にメモリ破損の脆弱性