公開日:2012/12/19 最終更新日:2012/12/19

JVNVU#91076352
Adobe Shockwave Player における Shockwave ランタイムのインストールに関する問題

概要

Adobe Shockwave Player には、Shockwave ランタイムのインストールに関する問題が存在します。

影響を受けるシステム

  • Adobe Shockwave Player

詳細情報

Shockwave 11 向けであることを明示していない Shockwave コンテンツを閲覧した場合、古いバージョンの Shockwave ランタイムが、ユーザに断りなく自動的にインストールされます。

なお、開発者が提供する Director 11 and Shockwave 11 Release White paper には、以下のように記載されています。

"When the user launches Shockwave content from a browser, the Shockwave 11 ActiveX control is downloaded to the
<%System%>/Adobe/Shockwave 11 folder. If the HTML page does not specify the playerVersion as 11, the
Shockwave 10.4.0.025 ActiveX control is downloaded silently, and installed in the
<%System%>/Macromed/Shockwave10 folder."
"The Shockwave auto-update mechanism installs Shockwave 11 only. The compatibility components of Shockwave
10.4.0.025 player are installed only when the user tries to play old Shockwave content with the compatibility
parameter set to 10 or blank."

想定される影響

Shockwave 11 向けであることを明示していない Shockwave コンテンツを閲覧することで、旧バージョンの Shockwave ランタイムをインストールさせられる可能性があります。結果として、遠隔の第三者によって、既知の脆弱性を使用した様々な攻撃を受ける可能性があります。

対策方法

2012年12月19日現在、対策方法はありません。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

参考情報

  1. US-CERT Vulnerability Note VU#546769
    Adobe Shockwave player vulnerable to downgrading

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

2012.12.19における脆弱性分析結果

評価尺度 攻撃成立条件 評価値
攻撃経路 インターネット経由からの攻撃が可能
認証レベル 匿名もしくは認証なしで攻撃が可能
攻撃成立に必要なユーザーの関与 リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される
攻撃の難易度 ある程度の専門知識や運 (条件が揃う確率は高い) が必要
  • 中 - 高

各項目の詳しい説明

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2012-6270
JVN iPedia