1. ホーム
2. サポート
3. セキュリティ情報

セキュリティ速報

Adobe ReaderおよびAcrobat用セキュリティアップデート公開

リリース日： 2009年10月13日

脆弱性識別番号：APSB09-15

CVE番号： CVE-2007-0048、CVE-2007-0045、CVE-2009-2564、CVE-2009-2979、CVE-2009-2980、CVE-2009-2981、CVE-2009-2982、CVE-2009-2983、CVE-2009-2984、CVE-2009-2985、CVE-2009-2986、CVE-2009-2987、CVE-2009-2988、CVE-2009-2989、CVE-2009-2990、CVE-2009-2991、CVE-2009-2992、CVE-2009-2993、CVE-2009-2994、CVE-2009-2995、CVE-2009-2996、CVE-2009-2997、CVE-2009-2998、CVE-2009-3431、CVE-2009-3458、CVE-2009-3459、CVE-2009-3460、CVE-2009-3461、CVE-2009-3462

プラットフォーム： すべて

概要

Adobe Reader 9.1.3、Acrobat 9.1.3、およびWindows版、Macintosh版、UNIX版のAdobe Reader 8.1.6、Acrobat 8.1.6、ならびにWindows版、Macintosh版のAdobe Reader 7.1.3、Acrobat 7.1.3にクリティカルな脆弱性が存在することが確認されました。これらの脆弱性が原因でアプリケーションがクラッシュしたり、場合によっては攻撃者が対象システムを制御できるようになるおそれがあります。このアップデートは、Adobe ReaderおよびAcrobat向けに用意される四半期毎のセキュリティアップデートの第2弾です。

Adobe Reader 9.1.3、Acrobat 9.1.3およびそれ以前のバージョンをご利用のお客様には、Adobe Reader 9.2およびAcrobat 9.2へのアップグレードを推奨します。また、Acrobat 8.1.6およびそれ以前のバージョンをご利用のお客様にはAcrobat 8.1.7へのアップグレードを、Acrobat 7.1.3およびそれ以前のバージョンをご利用のお客様にはAcrobat 7.1.4へのアップグレードをそれぞれ推奨します。Adobe Reader 9.2へのアップグレードを望まないAdobe Readerユーザーの方に対しては、Adobe Reader 8.1.7アップデートおよびAdobe Reader 7.1.4アップデートを用意しています。アップデートは、Windows、MacintoshおよびUNIXのすべてのプラットフォーム向けのものが用意されています。

影響を受けるソフトウェアとバージョン

Windows版、Macintosh版およびUNIX版のAdobe Reader 9.1.3およびそれ以前のバージョン
Windows版、Macintosh版のAdobe Acrobat 9.1.3およびそれ以前のバージョン

解決方法

Adobe Reader

Windows版Adobe Readerのアップデートは次のURLより入手できます。
http://www.adobe.com/support/downloads/product.jsp?product=10&platform=Windows

Macintosh版Adobe Readerのアップデートは次のURLより入手できます。
http://www.adobe.com/support/downloads/product.jsp?product=10&platform=Macintosh

UNIX版Adobe Readerのアップデートは次のURLより入手できます。
http://www.adobe.com/support/downloads/product.jsp?product=10&platform=Unix

Acrobat

Windows版Acrobat StandardおよびProのアップデートは次のURLより入手できます。
http://www.adobe.com/support/downloads/product.jsp?product=1&platform=Windows

Windows版Adobe Pro Extendedのアップデートは次のURLより入手できます。
http://www.adobe.com/support/downloads/product.jsp?product=158&platform=Windows

Windows版Acrobat 3Dのアップデートは次のURLより入手できます。
http://www.adobe.com/support/downloads/product.jsp?product=112&platform=Windows

Macintosh版Acrobat Proのアップデートは次のURLより入手できます。
http://www.adobe.com/support/downloads/product.jsp?product=1&platform=Macintosh

緊急度

アドビは、この案件をクリティカルなアップデートと分類しています。

詳細

Adobe Reader 9.1.3、Acrobat 9.1.3、およびWindows版、Macintosh版、UNIX版のAdobe Reader 8.1.6、Acrobat 8.1.6、ならびにWindows版、Macintosh版のAdobe Reader 7.1.3、Acrobat 7.1.3にクリティカルな脆弱性が存在することが確認されました。これらの脆弱性が原因でアプリケーションがクラッシュしたり、場合によっては攻撃者が対象システムを制御できるようになるおそれがあります。このアップデートは、Adobe ReaderおよびAcrobat向けに用意される四半期毎のセキュリティアップデートの第2弾です。

Adobe Reader 9.1.3、Acrobat 9.1.3およびそれ以前のバージョンをご利用のお客様には、Adobe Reader 9.2およびAcrobat 9.2へのアップグレードを推奨します。また、Acrobat 8.1.6およびそれ以前のバージョンをご利用のお客様にはAcrobat 8.1.7へのアップグレードを、Acrobat 7.1.3およびそれ以前のバージョンをご利用のお客様にはAcrobat 7.1.4へのアップグレードをそれぞれ推奨します。Adobe Reader 9.2へのアップグレードを望まないAdobe Readerユーザーの方に対しては、Adobe Reader 8.1.7アップデートおよびAdobe Reader 7.1.4アップデートを用意しています。アップデートは、Windows、MacintoshおよびUNIXのすべてのプラットフォーム向けのものが用意されています。

このアップデートはコード実行の原因になりかねない、ヒープオーバーフロー脆弱性を解消します（CVE-2009-3459）。
メモ：この脆弱性については、特定の対象に対する限定的な形での一般的な悪用事例が報告されています。

このアップデートはコード実行の原因になりかねない、メモリ破損問題を解消します（CVE-2009-2985）。

このアップデートはコード実行の原因になりかねない、複数のヒープオーバーフロー脆弱性を解消します（CVE-2009-2986）。

このアップデートはコード実行の原因になりかねない、不正配列インデックス問題を解消します（CVE-2009-2990）。
メモ：この問題はAdobe Reader、Acrobatの9.2および8.1.7アップデートで解決されています。

このアップデートは、攻撃者によって現在のユーザー権限で任意のコードが実行されることになりかねない、Mozillaプラグイン特有のリモート攻撃問題を解消します（CVE-2009-2991）。
メモ：この問題はAdobe ReaderおよびAcrobat 8.1.7アップデートで解決されています。

このアップデートはコード実行の原因になりかねない、複数の入力検証脆弱性を解消します（CVE-2009-2993）。

このアップデートはコード実行の原因になりかねない、バッファーオーバーフロー問題を解消します（CVE-2009-2994）。

このアップデートはコード実行の原因になりかねない、ヒープオーバーフロー脆弱性を解消します（CVE-2009-2997）。

このアップデートはコード実行の原因になりかねない、入力検証時の問題を解消します（CVE-2009-2998）。

このアップデートはコード実行の原因になりかねない、入力検証時の問題を解消します（CVE-2009-3458）。

このアップデートはコード実行の原因になりかねない、メモリ破損問題を解消します。この問題はAcrobatのみに影響し、Adobe Readerには影響を及ぼしません。 （CVE-2009-3460）。
メモ：この問題はAcrobat 9.2および 8.1.7アップデートで解決されています。

このアップデートはコード実行の原因になりかねない、整数オーバーフローを解消します。この問題はAcrobatのみに影響し、Adobe Readerには影響を及ぼしません。 （CVE-2009-2989）。
メモ：この問題はAcrobat 9.2および 8.1.7アップデートで解決されています。

このアップデートはサービス拒否（DoS）の原因になりかねない、メモリ破損問題を解消します。この脆弱性によって任意のコードが実行されたことは証明されていませんが、可能であるおそれがあります（CVE-2009-2983）。
メモ：この問題はAdobe Reader、Acrobatの9.2および8.1.7アップデートで解決されています。

このアップデートはサービス拒否（DoS）の原因になりかねない、整数オーバーフローを解消します。この脆弱性によって任意のコードが実行されたことは証明されていませんが、可能であるおそれがあります（CVE-2009-2980）。

このアップデートはサービス拒否（DoS）の原因になりかねない、メモリ破損問題を解消します。この脆弱性によって任意のコードが実行されたことは証明されていませんが、可能であるおそれがあります（CVE-2009-2996）。

このアップデートはコード実行の原因になりかねない、デバッグモードでの実行時におけるUnix版特有のフォーマットバグを解消します（CVE-2009-3462）。

このアップデートはサービス拒否（DoS）の原因になりかねない、画像デコーダー関連の問題を解消します。任意のコードが実行されたことは証明されていませんが、可能であるおそれがあります。この問題はAcrobatのみに影響し、Adobe Readerには影響を及ぼしません。 （CVE-2009-2984）。
メモ：この問題はAcrobat 9.2アップデートで解決されています。

このアップデートはTrust Managerの制約が迂回されることになりかねない、入力検証時の問題を解消します（CVE-2009-2981）。

このアップデートは、攻撃者にファイル拡張子のセキュリティ制御を迂回する機会を与えかねない問題点を解消します。この問題の対象はAcrobat 9.Xのみです（CVE-2009-3461）。

このアップデートは、悪用されるとソーシャルエンジニアリング攻撃で用いられることになりかねない、証明書を編集します（CVE-2009-2982）。
メモ：この問題はAdobe Reader、Acrobatの9.2および8.1.7アップデートで解決されています。

このアップデートはサービス拒否（DoS）攻撃の原因になりかねない、スタックオーバーフロー問題を解消します（CVE-2009-3431）。
メモ：この問題はAdobe Reader、Acrobatの9.2および8.1.7アップデートで解決されています。

このアップデートはサービス拒否（DoS）攻撃の原因になりかねない、XMP-XMLエンティティ拡大問題を解消します（CVE-2009-2979）。
メモ：この問題はAdobe Reader、Acrobatの9.2および8.1.7アップデートで解決されています。

このアップデートはWindows OS特有のActiveXコントロールのリモートサービス拒否問題を解消します（CVE-2009-2987）。

このアップデートはサービス拒否（DoS）問題の原因になりかねない、入力検証時の問題を解消します（CVE-2009-2988）。

このアップデートはサービス拒否（DoS）攻撃の原因になりかねない、ActiveXコントロール特有の入力検証時の問題を解消します（CVE-2009-2992）。
メモ：この問題はAdobe Reader、Acrobatの9.2および8.1.7アップデートで解決されています。

このアップデートはサービス拒否（DoS）の原因になりかねない、整数オーバーフローを解消します。この問題はAcrobatのみに影響し、Adobe Readerには影響を及ぼしません。 （CVE-2009-2995）。

このアップデートはローカル権限昇格の原因になりかねない、Adobe Readerが使用するサードパーティ製Webダウンロード製品の問題を解消します（CVE-2009-2564）。

このアップデートは、ブラウザープラグインをGoogle ChromeおよびOperaブラウザーで用いる際に発生しかねない、クロスサイトスクリプティング問題を解消します（CVE-2007-0048、CVE-2007-0045）。

謝辞

一連の問題を指摘し、ユーザーのセキュリティ保護にご協力いただいた以下の個人および組織の皆様に対し、アドビより厚く御礼を申し上げます。

• Compass Security（http://www.csnc.ch*）のMichael Schmidt氏（CVE-2007-0048、CVE-2007-0045）
• Didier Stevens氏（CVE-2009-2979）
• Appleプロダクトセキュリティ（http://www.apple.com/jp/support/security/）のDrew Yao氏（CVE-2009-2980）
• Minded Security（http://www.mindedsecurity.com/*）のStefano Di Paola氏（CVE-2009-2981）
• SOGETI ESEC（http://esec.fr.sogeti.com/*）のGuillaume Delugré氏およびFrédéric Raynal氏（CVE-2009-2982、CVE-2009-3461、CVE-2009-3462）
• Google Inc.のSkyLined氏（http://skypher.com/SkyLined*）（CVE-2009-2983）
• Googleセキュリティチーム（http://www.google.co.jp/corporate/security.html*）のTavis Ormandy氏（CVE-2009-2984）
• TippingPointのZero Day Initiative（http://www.zerodayinitiative.com/*）経由で問題をご指摘いただいた匿名の研究者様（CVE-2009-2985）
• CERT（http://www.cert.org/*）のWill Dormann氏（CVE-2009-2986）
• Fortinet、FortiGuardグローバルセキュリティリサーチチーム（http://www.fortiguardcenter.com*）のZhenhua Liu氏およびXiaopeng Zhang氏（CVE-2009-2987、CVE-2009-2988、CVE-2009-2996）
• ICST-ERCIS（Engineering Research Center of Info Security, Institute of Computer Science & Technology, Peking University / China）のTielei Wang氏（CVE-2009-2989、CVE-2009-2995）
• iDefenseのVulnerability Contributor Program（http://www.idefense.com/vcp/*）経由で問題をご指摘いただいたDionysus Blazakis氏（CVE-2009-2990）
• iDefenseのVulnerability Contributor Program（http://www.idefense.com/vcp/*）経由で問題をご指摘いただいたElazar Broad氏（CVE-2009-2991）
• Next Generation Security Software（http://www.ngssoftware.com/*）のDavid Soldera氏（CVE-2009-2992）
• IOActive（http://www.ioactive.com/*）（CVE-2009-2993）
• iSIGHT Partners GVP（https://gvp.isightpartners.com*）経由で問題をご指摘いただいたFelipe Andres Manzano 氏（CVE-2009-2994）
• VUPEN Security（http://www.vupen.com*）のNicolas Joly氏（CVE-2009-2997、CVE-2009-2998、CVE-2009-3458）
• Information and Communication Security Technology Center（http://www.icst.org.tw*）のChia-Ching Fang氏（CVE-2009-3459）
• Fortinet、FortiGuardグローバルセキュリティリサーチチーム（http://www.fortiguardcenter.com/*）のHaifei Li氏（CVE-2009-3460）

更新履歴

2009年10月13日 - 詳細情報を更新
2009年10月8日 - 初出