Adobe Flash Player の PCRE エンジンにおける任意のコードが実行される脆弱性（Scan Tech Report）

1.概要
Adobe Systems 社の Adobe Flash Player に、任意のコードが実行される脆弱性が報告されています。脆弱性を利用されることにより、遠隔の攻撃者による不正侵入を許容してしまう恐れがあります。

2.深刻度(CVSS)
7.8
https://nvd.nist.gov/cvss.cfm?version=2&name=CVE-2015-0318&vector=(AV:N/AC:L/Au:N/C:C/I:C/A:C)

3.影響を受けるソフトウェア※1
以下のバージョンの Adobe Flash Player が当該脆弱性の影響を受けます。
- Adobe Flash Player 16.0.0.296とそれ以前のバージョン
- Adobe Flash Player 13.0.0.264とそれ以前の13.xバージョン
- Adobe Flash Player 11.2.202.440とそれ以前の11.xバージョン

4.解説
Adobe Flash Player は、Adobe Systems 社が開発している動画を再生するためのソフトウェアです。

脆弱な Adobe Flash Player では、正規表現のライブラリである PCRE エンジンのコンパイル処理に欠陥があります。PCRE は様々なファイルの正規表現をサポートしていますが、当該脆弱性を含む Adobe Flash Player の PCRE エンジンでは、Flash ファイルの正規表現のコンパイル処理の際に、マルチバイト文字がエスケープシーケンス \c に続いているとバグが発生し、PCRE 内部のバイトコードの実行を許容してしまいます。脆弱性を利用することで、メモリの破壊、DoS 攻撃などを行うことが可能となります。このため、遠隔の攻撃者は、本脆弱性を利用することで対象のシステムにログインしているユーザ権限で任意のコード実行が可能です。

なお、本脆弱性 (CVE-2015-0318) に脆弱な Adobe Flash Player では、本脆弱性以外にもコード実行を引き起こす複数の脆弱性が報告されております。

5.対策
Adobe Systems 社の公式ページから最新版にアップデートすることで、脆弱性に対処できます。

https://get2.adobe.com/jp/flashplayer/

6.ソースコード
（Web非公開）

（執筆：株式会社ラック　サイバー・グリッド研究所）

※Web非公開該当コンテンツ閲覧をご希望の方はScan Tech Reportにご登録（有料）下さい。

Scan Tech Report
http://scan.netsecurity.ne.jp/archives/51916302.html

Adobe Flash Player の PCRE エンジンにおける任意のコードが実行される脆弱性（Scan Tech Report）

関連記事

ActualAnalyzer Lite における Cookie パラメータが検証されず任意のコードが実行されてしまう脆弱性（Scan Tech Report）

FreeBSD の SCTP モジュールの実装に起因するメモリ領域破壊の脆弱性（Scan Tech Report）

Wordpress 用プラグイン InfusionSoft Gravity Forms における任意のファイルがアップロードされる脆弱性（Scan Tech Report）

ProjectSend における任意のファイルをアップロードされる脆弱性（Scan Tech Report）

特集

関連リンク

アクセスランキング

複数名でマスキング処理を確認したが時間経過でインクが薄れて個人情報判読可能

「攻撃者の高い執念が感じられ」る日本語版 EmEditor Web サイトのリンク改変

EmEditor「公式サイトからダウンロードしたお客様が被害に遭われた点に重い責任を感じて」いる

埼玉大学で在学生 8,373 名の学籍番号及び GPA 等を含む個人情報が閲覧可能に

GMOサイバー攻撃ネットde診断 ASM が「React2Shell（CVE-2025-55182）」の検知に対応