Adobe セキュリティ情報

リリース日： 2015 年 12 月 28 日

最終更新日：2016年6月23日

脆弱性識別番号： APSB16-01

優先度：以下の表を参照してください

CVE 番号： CVE-2015-8459、CVE-2015-8460、CVE-2015-8634、CVE-2015-8635、CVE-2015-8636、CVE-2015-8638、CVE-2015-8639、CVE-2015-8640、CVE-2015-8641、CVE-2015-8642、CVE-2015-8643、CVE-2015-8644、CVE-2015-8645、CVE-2015-8646、CVE-2015-8647、CVE-2015-8648、CVE-2015-8649、CVE-2015-8650、CVE-2015-8651、CVE-2016-0959

プラットフォーム：全プラットフォーム

概要

Adobe Flash Player のセキュリティアップデートが公開されました。これらのアップデートにより、対象システムが攻撃者に制御される恐れのある重大な脆弱性が解消されます。

現在、CVE-2015-8651 は限定的な標的型攻撃に利用されているという報告があります。

対象のバージョン

• ご利用中のシステムにインストールされている Adobe Player のバージョンを確認するには、Adobe Flash Player についてのページにアクセスするか、Flash Player で実行中のコンテンツ上を右クリックし、メニューから「Adobe （または Macromedia） Flash Player について」を選択します。 複数のブラウザーを利用している場合は、当該システムにインストールされたブラウザーごとに、この確認作業を行うようにしてください。
• ご利用中のシステムにインストールされている Adobe AIR のバージョンを確認するには、Adobe AIR テクニカルノートに記載されている指示に従います。

解決方法

アドビは、これらのアップデートの優先度を次のように評価し、対象製品をご利用のお客様に最新バージョンへのアップグレードを推奨します。

• Windows 版 と Macintosh 版 のデスクトップランタイムをご利用のユーザーの皆様には、Adobe Flash Player ダウンロードセンターから、または製品内蔵のアップデート機能から指示があった際に Adobe Flash Player 20.0.0.267 をダウンロードしてアップデートすることを推奨します [1]。
• Adobe Flash Player の継続サポートリリースをご利用のお客様には、http://helpx.adobe.com/jp/flash-player/kb/archived-flash-player-versions.html から Adobe Flash Player 18.0.0.324 をダウンロードしてアップデートすることを推奨します。
• Linux 版の Adobe Flash Player をご利用のユーザーの皆様には、Adobe Flash Player ダウンロードセンターから Adobe Flash Player 11.2.202.559 をダウンロードしアップデートすることを推奨します。
• Google Chrome とともにインストールされた Adobe Flash Player については、Windows、Macintosh、Linux および Chrome OS については、Adobe Flash Player 20.0.0.267 を含む最新バージョンの Google Chrome へのアップデートが自動的に行われます。
• Windows 10 用の Microsoft Edge および Internet Explorer とともにインストールされた Adobe Flash Player については、Adobe Flash Player 20.0.0.267 を含む最新バージョンへのアップデートが自動的に行われます。 
• Windows 8.x 用の Internet Explorer とともにインストールされた Adobe Flash Player については、Adobe Flash Player 20.0.0.267 を含む最新バージョンの Internet Explorer へのアップデートが自動的に行われます。
• AIR デスクトップランタイム、AIR SDK、AIR SDK およびコンパイラをご使用のお客様には、AIR ダウンロードセンターまたは AIR デベロッパーセンターを参照し、バージョン 20.0.0.233 へアップデートすることをお勧めしています。
• Flash Player のインストール方法については、Flash Player ヘルプページを参照してください。

脆弱性に関する詳細

• これらのアップデートは、コード実行の原因になりかねない、タイプの混乱の脆弱性を解消します（CVE-2015-8644）。
• このアップデートは、コード実行の原因になりかねない、整数オーバーフローの脆弱性を解消します（CVE-2015-8651）。
• これらのアップデートは、コード実行の原因になりかねない、解放済みメモリ使用の脆弱性を解消します (CVE-2016-8634、CVE-2015-8635、CVE-2015-8638、CVE-2015-8639、CVE-2015-8640、CVE-2015-8641、CVE-2015-8642、CVE-2015-8643、CVE-2015-8646、CVE-2015-8647、CVE-2015-8648、CVE-2015-8649、CVE-2015-8650、CVE-2015-0959)。
• このアップデートは、コード実行の原因になりかねない、メモリ破損の脆弱性を解消します（CVE-2015-8459、CVE-2015-8460、CVE-2015-8636、CVE-2015-8645）。

謝辞

• Google Project Zero の Natalie Silvanovich 氏（CVE-2015-8644）
• HP's Zero Day Initiative と協力する匿名者様（CVE-2015-8638、CVE-2015-8639、CVE-2015-8647、CVE-2015-8648、CVE-2015-8649、CVE-2015-8650）
• Qihoo 360 Vulcan Team の Yuki Chen 氏（CVE-2015-8640、CVE-2015-8641、CVE-2015-8642、CVE-2015-8643、CVE-2015-8646）
• Qihoo 360 の Jie Zeng 氏（CVE-2015-8460）
• Google Project Zero の Ben Hawkes 氏、Mateusz Jurczyk 氏と Natalie Silvanovich 氏（CVE-2015-8634、CVE-2015-8635、CVE-2015-8636）
• Tencent's Xuanwu Lab の Kai Kang 氏（CVE-2015-8459）
• Chromium Vulnerability Reward Program と協力する WINS、WSEC Analysis Team の Jaehun Jeong 氏（@n3sk）（CVE-2015-8645）
  
• Microsoft Vulnerability Research の Nicolas Joly 氏（CVE-2016-0959）

更新履歴

2015 年 12 月 29 日：CVE-2015-8651 についての謝辞が削除されました。 

2016 年 6 月 23 日： CVE-2016-0959 の参照を追加しました。本件はこれらのアップデートで解決済みですが、不手際にてこのお知らせの元バージョンで掲示漏れしたものです。