Trusted Design

CVE-2012-0754 の詳細

CVEの情報

説明:
Adobe Flash Player before 10.3.183.15 and 11.x before 11.1.102.62 on Windows, Mac OS X, Linux, and Solaris; before 11.1.111.6 on Android 2.x and 3.x; and before 11.1.115.6 on Android 4.x allows attackers to execute arbitrary code or cause a denial of service (memory corruption) via unspecified vectors.

CVE更新日: 2012-02-16 19:55:01.130000

CVSSバージョン: 3.1

CVSSスコア: 8.1

KEVの情報

KEV更新日: 2022-06-08

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.910850000

EPSS更新日: 2026-10-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2012-0754について、以下の観点で解説します。

1. 脆弱性の概要

Adobe Flash Playerに存在するメモリ破損の脆弱性です。この脆弱性を悪用されると、攻撃者によって任意のコードが実行されるか、サービス拒否（メモリ破損）が発生する可能性があります。 この脆弱性は、細工されたFlashファイル やMP4ファイルを処理することで悪用される可能性があります。

CISAの既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities catalog）に登録されており、実環境で悪用されたことが確認されています。

1.1 影響

攻撃が成功した場合、攻撃者はターゲットホスト上で任意のコードを実行できます。これにより、ユーザー権限の奪取、情報の取得・改ざん、またはワームやスパイウェアなどの悪意のあるプログラムがシステムにインストールされる可能性があります。 また、メモリ破損によりサービス拒否が発生する可能性もあります。

1.2 深刻度

  • CVSS v2.0 基本評価値: 9.3 (危険)
    • 攻撃元区分: ネットワーク
    • 攻撃条件の複雑さ: 中
    • 攻撃前の認証要否: 不要
    • 機密性への影響: 全面的
    • 完全性への影響: 全面的
    • 可用性への影響: 全面的
  • CVSS v3.1 基本評価値: 8.1 (High)
    • 攻撃元区分: ネットワーク
    • 攻撃条件の複雑さ: 低
    • 攻撃に必要な特権レベル: 不要
    • 利用者の関与: 要
    • 影響の想定範囲: 変更なし
    • 機密性への影響: 高
    • 完全性への影響: 高
    • 可用性への影響: 高

SUSEは、この問題を「重要」な深刻度として評価しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Windows
  • Mac OS X
  • Linux
  • Solaris
  • Android 2.x および 3.x
  • Android 4.x

2.2 影響を受ける設定

以下のバージョンのAdobe Flash Playerが影響を受けます。

  • Windows, Mac OS X, Linux, Solaris 上のAdobe Flash Player 10.3.183.15 より前のバージョン、および 11.x の 11.1.102.62 より前のバージョン
  • Android 2.x および 3.x 上のAdobe Flash Player 11.1.111.6 より前のバージョン
  • Android 4.x 上のAdobe Flash Player 11.1.115.6 より前のバージョン
  • 具体的には、Flash Player 11.1.102.55以前、Flash Player 11.1.112.61以前 (Android)、Flash Player 11.1.111.5以前 (Android)、Flash Player 11.1.102.55以前 (Chrome) が影響を受けます。

3. 影響を受けた時の兆候

この脆弱性による直接的な「兆候」は明確に示されていませんが、悪用された場合、システムクラッシュ、予期せぬ動作、またはユーザーが意図しないプログラムの実行、情報漏洩やシステム改ざんなどが発生する可能性があります。 報告によると、脆弱なFlashファイルがMicrosoft WordやExcelドキュメントに埋め込まれて悪用される事例が発見されています。

4. 推奨対策

4.1 本対策

Adobe社からこの脆弱性を修正するアップデートがリリースされています。 以下のバージョン以降にアップデートすることを強く推奨します。

  • Flash Player 10.3.183.15 以降
  • Windows, Mac OS X, Linux, Solaris 上のFlash Player 11.1.102.62 以降
  • Android 2.x および 3.x 上のFlash Player 11.1.111.6 以降
  • Android 4.x 上のFlash Player 11.1.115.6 以降
  • Chrome向けのFlash Player 11.1.102.62 以降
  • SUSEの場合、flash-player >= 11.2.202.548-111.1 を推奨しています。

4.2 暫定回避策（緩和策）

この脆弱性に対する具体的な暫定回避策は、検索結果には詳細に記述されていません。基本的には、修正済みバージョンへのアップデートが唯一かつ最も効果的な対策とされています。

その他解説すべき観点

  • CISA Known Exploited Vulnerabilities (KEV) Catalogへの登録: この脆弱性は、CISAのKEVカタログに登録されており、攻撃者が活発に悪用していることが示されています。
  • ゼロデイ脆弱性ではなかった: この脆弱性はゼロデイ脆弱性ではなく、Adobeは2012年2月15日にセキュリティアドバイザリ「APSB12-03」を公開し、セキュリティパッチを配布していました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る