セキュリティ速報

Adobe Reader/Acrobat 8.1.2に関するセキュリティアップデート公開

リリース日：2008年６月23日

脆弱性識別番号：APSB08-15

CVE番号： CVE-2008-2641、CVE-2008-0883

プラットフォーム：全プラットフォーム

影響を受けるソフトウェアとバージョン：

Adobe Reader 8.0～8.1.2
Adobe Reader 7.0.9およびそれ以前
Adobe Acrobat Professional、3D、Standard 8.0～8.1.2
Adobe Acrobat Professional、3D、Standard 7.0.9およびそれ以前

メモ：Adobe Reader 7.1.0およびAcrobat 7.1.0には、この脆弱性の影響が及びません。また、2008年７月リリース予定のAdobe Reader 9およびAcrobat 9にも、この脆弱性の影響は及びません。

概要

Adobe ReaderおよびAcrobatのバージョン8.1.2に、クリティカルな脆弱性が存在することが確認されました。この脆弱性が悪用されると当該アプリケーションがクラッシュしたり、攻撃者が対象システムを制御できるようになる可能性があります。

アドビでは、Acrobat 8およびAdobe Readerユーザの皆様に対し、8.1.2 Security Update 1パッチのインストールを推奨しています。

解決方法

Acrobat 8およびAdobe Reader

アドビでは、Adobe Reader 8ユーザの皆様に対し、以下のリンクから提供中のAdobe Reader 8.1.2 Security Update 1へのアップデートを推奨しています。

Windows版：http://www.adobe.com/support/downloads/detail.jsp?ftpID=3967*

Macintosh版：http://www.adobe.com/support/downloads/detail.jsp?ftpID=3966*

Unix版：http://www.adobe.com/support/downloads/detail.jsp?ftpID=3992*

Acrobat 8 Windows版ユーザの皆様には、次のURLより提供中のAcrobat 8.1.2 Security Update 1へのアップデートを推奨します。
http://www.adobe.com/support/downloads/detail.jsp?ftpID=3976*

Acrobat 8 Macintosh版ユーザの皆様には、次のURLより提供中のAcrobat 8.1.2 Security Update 1へのアップデートを推奨します。
http://www.adobe.com/support/downloads/detail.jsp?ftpID=3977*

Acrobat 3D Version 8 Windows版ユーザの皆様には、次のURLより提供中のAcrobat 3D Version 8.1.2 Security Update 1へのアップデートを推奨します。
http://www.adobe.com/support/downloads/detail.jsp?ftpID=3975*

Adobe Reader 7.0から7.0.9までのユーザの皆様には、次のURLより提供中のAdobe Reader 7.1.0へのアップグレードを推奨します。
http://www.adobe.com/go/getreader_jp

Acrobat 7

Acrobat 7 Windows版ユーザの皆様には、次のURLより提供中のAcrobat 7.1.0へのアップデートを推奨します。
http://www.adobe.com/support/downloads/product.jsp?product=1&platform=Windows*

Acrobat 7 Macintosh版ユーザの皆様には、次のURLより提供中のAcrobat 7.1.0へのアップデートを推奨します。
http://www.adobe.com/support/downloads/product.jsp?product=1&platform=Macintosh*

各アップデートのインストール手順の詳細については、以下を参照してください。

詳細

Adobe ReaderおよびAcrobat 8.1.2ならびにそれ以前のバージョンに、クリティカルな脆弱性が存在することが確認されました。この脆弱性が原因でアプリケーションがクラッシュしたり、場合によっては、攻撃者が対象システムを制御できるようになる恐れがあります。

Unix版に限り、以前セキュリティ情報APSA08-02に掲載されていた権限昇格問題も、本アップデートにより解決されます。

AcrobatおよびAdobe Readerをご利用のお客様には、潜在的な脆弱性からシステムを守るために、前述の解決方法に従って対象製品をアップデートすることを推奨します。なお、Adobe Reader 7.1.0およびAcrobat 7.1.0には、この脆弱性の影響は及びません。

本アップデートは、リモートコード実行の原因になりかねない、JavaScriptメソッドでの入力検証時の問題点を解決します。(CVE-2008-2641)

メモ：この問題が悪用され、実際に感染被害が発生したケースが報告されています。

緊急度

アドビは、この問題をクリティカルなアップデートと分類し、対象ユーザの皆様に当該ソフトウェアのアップデートを推奨します。

謝辞

このクリティカルな問題（CVE-2008-2641）を指摘するとともに、ユーザのセキュリティ保護にご協力くださったJohns Hopkins大学応用物理研究所*情報セキュリティチームの皆様に対して、アドビより厚く御礼申し上げます。また、Unixの権限昇格問題（CVE-2008-0883）を指摘するとともに、ユーザのセキュリティ保護にご協力くださったGoogleセキュリティチーム*のTavis Ormandy氏に対して、アドビより厚く御礼申し上げます。

更新履歴

2008年７月17日 – Unix版に関する情報を追加
2008年６月23日 – セキュリティ速報初版作成

免責条項

使用許諾条件

Adobe Systems Incorporatedまたはその子会社（「アドビ」）のソフトウェアを使用すると、下記のライセンス許諾契約の諸条件を承諾したことになります。この契約の諸条件を承諾しない場合は、このソフトウェアを使用しないでください。特定のソフトウェアファイルのインストール時またはダウンロード時に付随するエンドユーザ使用許諾契約の条項は、下記の条項よりも優先されます。

アドビシステムズ社のソフトウェア製品の輸出および再輸出は米国輸出管理規則により規制されており、キューバ、イラン、イラク、リビア、北朝鮮、スーダンもしくはシリアまたはその他米国政府が輸出を禁ずる国への輸出および再輸出は許可されません。さらに、アドビのソフトウェア製品はTOD（Table Of Denial Order）、Entity ListまたはList of Specially Designated Nationalsの取引禁止対象者リストの対象者へ頒布することは許可されておりません。

アドビのソフトウェア製品をダウンロードまたは使用することにより、お客様にはキューバ、イラン、イラク、リビア、北朝鮮、スーダンもしくはシリアまたはその他米国政府が輸出を禁ずる国の国民でないこと、TOD、Entity ListまたはList of Specially Designated Nationalsの取引禁止対象者リストの対象者ではないことを証していただきます。

本ソフトウェアが他のアドビ製品（以下「ホストアプリケーション」）との併用を予定している場合、アドビは本ソフトウェアを専らホストアプリケーションと併用するために使用できる非排他的な権利を許諾します。ただし、かかる許諾はお客様がホストアプリケーションの正規ライセンスを有していることを条件とします。下記に定める規定を除き、本ソフトウェアの使用条件はホストアプリケーションの使用について適用されるアドビのエンドユーザ使用許諾契約の規定によるものとします。

保証の免責：お客様は、アドビが本ソフトウェアに関して明示的な保証を一切行わず、本ソフトウェアが「現状のまま」でいかなる保証もなく提供されていることを承諾します。アドビは、本ソフトウェアについて、特定の用途に対する適性、商業価値、商業上の品質、または第三者の権利の尊重を含むがそれに限定されない明示的または黙示的な保証は一切行っていません。国または法域によっては黙示の保証の除外が認められていないため、上記の限定は適用されない場合があります。

有限責任：契約、不法行為（過失を含む）、厳格な製造物責任またはその他の行為の形態にかかわらず、いかなる使用の損失、業務中断、または営利喪失を含む直接的、間接的、個別的、偶発的、副次的ないかなる損害に関して、事前に当該損害の可能性が勧告されていた場合でも、アドビはいかなる責任も負いません。国または法域によっては付随的または派生的な損害の除外または限定が認められていないため、上記の除外および限定は適用されない場合があります。