Flash Playerのセキュリティアップデート公開、すでに攻撃も確認

　米Adobe Systemsは14日、Flash Playerの脆弱性（CVE-2012-1535）を修正するセキュリティアップデートを公開した。すでにこの脆弱性を悪用した攻撃が確認されているとしており、最新バージョンへのアップデートを推奨している。

　対象となるのは、Windows/Macintosh版のバージョン「11.3.300.270」以前、Linux版のバージョン「11.2.202.236」以前。セキュリティアップデートにより、それぞれ「11.3.300.271」「11.2.202.238」へアップデートされる。

　このほか、Google Chromeに含まれるFlash Playerについても、同日公開された同ブラウザーのバージョン「21.0.1180.79」にアップデートすることで脆弱性が修正される。

　一方、Android版のFlash Playerでは、この脆弱性には影響されないとしている。

　今回のアップデートで修正する脆弱性は、システムが強制終了したり、攻撃者によって制御される可能性のあるもの。緊急度のレーティングは、4段階中で最も高い“Critical”で、悪用された場合、不正なネイティブコードが実行される恐れのある脆弱性となっている。

　また、アップデートを適用する優先度（Priority）は、Windows版が最も高い“1”とのレーティングとなっており、直ちに（例えば72時間以内）適用することをAdobeでは推奨している。Macintosh/Linux版では1段階低い“2”。

　Adobeによると、Windows版Internet Explorer用のFlash Player ActiveXをターゲットとして、この脆弱性を突くWord文書を用いた限定的な攻撃事例が報告されているという。

　トレンドマイクロによると、このWordファイルはメールの添付ファイルとして侵入（トレンドマイクロ製品では「TROJ_MDROP.EVL」として検出）。ユーザーがこれを開くと、バックドア型不正プログラム（同じく「BKDR_BRIBA.EVL」として検出）が作成され、さらにあるウェブサイトにアクセスして別の不正プログラムをダウンロードするという。なお、8月17日現在、このサイトはアクセス不能だとしている。　

　Adobeではこのほか、「Shockwave Player」のセキュリティアップデートも公開した。対象となるのは、Windows/Macintosh版のバージョン「11.6.5.635」以前。ユーザーに対して最新バージョン「11.6.6.636」へのアップデートを推奨している。攻撃者によるコード実行の恐れがあるメモリ破損の脆弱性5件を修正する。脆弱性のレーティングは、緊急度が“Critical”、優先度が“2”。