JVNVU#91076352
Adobe Shockwave Player における Shockwave ランタイムのインストールに関する問題

Adobe Shockwave Player には、Shockwave ランタイムのインストールに関する問題が存在します。

• Adobe Shockwave Player

Shockwave 11 向けであることを明示していない Shockwave コンテンツを閲覧した場合、古いバージョンの Shockwave ランタイムが、ユーザに断りなく自動的にインストールされます。

なお、開発者が提供する Director 11 and Shockwave 11 Release White paper には、以下のように記載されています。

"When the user launches Shockwave content from a browser, the Shockwave 11 ActiveX control is downloaded to the
<%System%>/Adobe/Shockwave 11 folder. If the HTML page does not specify the playerVersion as 11, the
Shockwave 10.4.0.025 ActiveX control is downloaded silently, and installed in the
<%System%>/Macromed/Shockwave10 folder."

"The Shockwave auto-update mechanism installs Shockwave 11 only. The compatibility components of Shockwave
10.4.0.025 player are installed only when the user tries to play old Shockwave content with the compatibility
parameter set to 10 or blank."

Shockwave 11 向けであることを明示していない Shockwave コンテンツを閲覧することで、旧バージョンの Shockwave ランタイムをインストールさせられる可能性があります。結果として、遠隔の第三者によって、既知の脆弱性を使用した様々な攻撃を受ける可能性があります。

2012年12月19日現在、対策方法はありません。

ワークアラウンドを実施する
以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。

• Shockwave コンテンツへのアクセスを制限する
• Internet Explorer のユーザは Shockwave Player の ActiveX コントロールを無効にする
• Enhanced Mitigation Experience Toolkit (EMET) を適用する
• Data Execution Prevention (DEP) を有効にする