Trusted Design

CVE-2015-0310 の詳細

CVEの情報

説明:
Adobe Flash Player before 13.0.0.262 and 14.x through 16.x before 16.0.0.287 on Windows and OS X and before 11.2.202.438 on Linux does not properly restrict discovery of memory addresses, which allows attackers to bypass the ASLR protection mechanism on Windows, and have an unspecified impact on other platforms, via unknown vectors, as exploited in the wild in January 2015.

CVE更新日: 2015-01-23 21:59:00.050000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2022-05-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.150970000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2015-0310について、以下の観点で解説します。

1. 脆弱性の概要

Adobe Flash Playerにおける情報漏えいの脆弱性です。不適切にメモリアドレスの発見が制限されることにより、攻撃者が本来取得できないメモリアドレス情報を取得できてしまいます。この脆弱性は、2015年1月にAngler Exploit Kitに関連するキャンペーンなどで実社会で悪用が確認されたゼロデイ脆弱性でした。

1.1 影響

  • Windows環境では、本脆弱性を悪用されると、メモリ保護メカニズムであるASLR (Address Space Layout Randomization) を回避される可能性があります。
  • ASLRのバイパスは、他のメモリ破損の脆弱性を悪用して任意のコード実行を確実に行うための重要なステップとなり、結果として攻撃者は遠隔で任意のコードを実行できるようになる可能性があります。
  • OS XおよびLinux上の他のプラットフォームについては、具体的な影響は明記されていませんが、不明な経路で不特定のインパクトがあるとされています。
  • 悪用が失敗した場合、サービス運用妨害 (DoS) 状態に陥る可能性があります。

1.2 深刻度

  • CVSS v3.1基本評価値: 7.8 (High)
  • CVSS v2.0基本評価値: 10.0 (Critical)
  • Rapid7およびSymantecも深刻度を「High」と評価しています。
  • CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、実社会で悪用されたことが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Windows
  • OS X (Mac)
  • Linux

2.2 影響を受ける設定

以下のバージョンのAdobe Flash Playerが影響を受けます。 * WindowsおよびOS X版: 13.0.0.262より前のバージョン、および14.xから16.xの16.0.0.287より前のバージョン。 * Linux版: 11.2.202.438より前のバージョン。

3. 影響を受けた時の兆候

本脆弱性はメモリアドレスの情報開示が主な目的であるため、直接的な兆候はユーザーからは確認しにくい場合があります。しかし、この脆弱性は通常、他のメモリ破壊の脆弱性と組み合わせて悪用され、任意のコード実行につながることが多いため、以下のような兆候が現れる可能性があります。

  • システムクラッシュ (サービス運用妨害)
  • マルウェアなどの不正なソフトウェアのインストール
  • システムの予期せぬ動作

この脆弱性は、2015年1月にAngler Exploit Kitを介して実社会で積極的に悪用されていました。

4. 推奨対策

4.1 本対策

  • Adobe Flash Playerを以下の修正バージョンにアップデートしてください。
    • WindowsおよびMac版: 16.0.0.287以降
    • Linux版: 11.2.202.438以降
    • 延長サポート版: 13.0.0.262以降
  • Google ChromeやWindows 8以降のInternet Explorerなど、Flash Playerが組み込まれているブラウザは自動的にアップデートされる場合があります。
  • Adobe Flash Playerは既に製品サポートが終了 (End-of-Life) しているため、もし現在も使用している場合は、すぐに切断またはアンインストールするべきです。

4.2 暫定回避策（緩和策）

  • Flash Playerが厳密に必要とされない場所では、Flash Playerを無効にしてください。
  • Flashコンテンツに対して「クリックして再生」の制御を使用してください。
  • ブラウザでのアクティブコンテンツの実行を制限してください。
  • 信頼できないWebコンテンツやマルバタイジング（不正広告）が多いWebサイトへのアクセスを制限してください。
  • EMET 5.1などのエクスプロイト対策、アプリケーション分離、最小権限の原則、ブラウザサンドボックスなどの多層防御策を導入することで、その後の侵害が成功する可能性を低減できます。

他に解説すべき観点

  • CVE-2015-0310は、セキュリティ情報「APSB15-02」で修正されました。
  • 本脆弱性が修正された同時期に、別のゼロデイ脆弱性であるCVE-2015-0311も発見され、こちらも実社会で悪用されていました。CVE-2015-0311は別のセキュリティ情報「APSB15-03」で修正されています。

参照したサイト

  • NVD-CVE-2015-0310 - NIST (英語)
  • CVE-2015-0310: Exposure of Sensitive Information to an Unauthorized Actor | Rapid7 Vulnerability Database (英語)
  • CVE-2015-0310 - CVE Record (英語)
  • ASLR bypass in Adobe Flash Player (CVE-2015-0310) - Mallory.ai (英語)
  • Web Attack: Adobe Flash Player CVE-2015-0310 (英語)
  • ゼロデイ脆弱性”CVE-2015-0310″を修正したAdobe Flash Playerの緊急アップデートを公開。
  • CVE-2015-0310 — exploited in the wild (CISA KEV): remediation & advisories | VulnTrek (英語)
  • Adobe Flash Playerの脆弱性 CVE-2015-0310/CVE-2015-0311に関連する情報をまとめてみた
  • 今日アップデートしたFlash Playerにはまだ別のゼロデイ脆弱性が、パッチを来週提供予定
  • CVE-2015-0310 - Krebs on Security (英語)
  • CVE-2015-0310 | Tenable® (英語)
  • CVE-2015-0310 Plugins | Tenable® (英語)
  • セキュリティホール memo - 2015.01 - 龍谷大学

NVDサイト

NVDでCVEの詳細を見る

戻る