アドビ、PDFの新たなゼロデイ脆弱性を悪用した攻撃を警戒|セキュリティ・マネジメント|トピックス|Computerworld

「Adobe Reader」および「Adobe Acrobat」に関するAdobeの警告文書

　米国Adobe Systemsは9月8日、同社の人気製品であるPDF閲覧および作成ソフトウェアの「Adobe Reader」「Adobe Acrobat」の未修正バグを悪用した攻撃が確認され始めていると、ユーザーに対し警告を発した。

　同社は8日に急いで勧告を出し、8日だけではあるが複数件の攻撃が認められたことを明らかにした。

　Adobeの警告文書（「Security Advisory for Adobe Reader and Acrobat」）には、「Windows、Macintosh、UNIX向けのAdobe Reader 9.3.4およびそれ以前のバージョンと、Windows、Macintosh向けのAdobe Acrobat 9.3.4およびそれ以前のバージョンには深刻な脆弱性が存在する」と記されている。

　この脆弱性はソフトウェアのクラッシュを引き起こす可能性があるだけでなく、攻撃者に悪用されれば、システムが乗っ取られるおそれもあるという。

　勧告には、「Adobeはこの脆弱性問題を解決するため、アップデートのスケジュールを検討しているところだ」とも書かれている。

　Adobeは、「現時点では（攻撃は）局所的に展開されるにとどまっている」と述べているものの、8日にはバグの詳細情報はほとんど開示しなかった。

　もっとも、8日にAdobeへ同バグについて報告した個人のセキュリティ研究者のミラ・パーカー（Mila Parkour）氏は、同氏のブログ「Contagio Malware Dump」に多数の記事をアップしている。

　パーカー氏は、不正なPDFが添付され、同ドキュメントを開くようユーザーを促す悪質な電子メール・メッセージを受信したという。同メッセージには、「Want to improve your score? In these golf tips, David Leadbetter shows you some important principles（ゴルフのスコアを改善したくないですか？　添付したゴルフのコツの中で、デイビッド・リードベター氏が大切な基本原則を明かします）」と書かれていた。

　リードベター氏は有名なゴルフ・コーチであり、書籍も執筆している。また、13カ国で20以上のゴルフ・アカデミーを運営する同氏は、「ゴルフ・スイング指導の達人」と呼ばれている。

　今回の脆弱性に関して、米国Symantecではその脅威レベルを最高10ポイントのうち8.5ポイントと評価している。一方、デンマークの脆弱性調査会社Secuniaは、この脆弱性を同社の脅威レベルでは最高となる「Extremely critical（きわめて深刻）」と査定している。

　Symantecによると、ReaderおよびAcrobatが、不正な形式のTIFF画像ファイルを含むPDFを解析する機能にバグが含まれているという。同社が顧客に向けて提供した注意文書には、「こうした問題はcooltype.dllのヒープメモリ破損のせいで起こる」と記してあった。　「CoolType」は、米国Microsoftの「ClearType」に似たAdobeのフォント・レンダリング技術。

　Adobeは、ReaderおよびAcrobatのゼロデイ脆弱性に対するパッチ・リリースの時期を定めておらず、またパッチの準備ができるまでの一時対抗策も示していない。

　次回のReaderおよびAcrobatの定期パッチ・リリースは10月13日だが、同脆弱性への攻撃が活性化した場合、Adobeはこれまでと同じくいわゆる「例外的な」緊急アップデートを配布するかかもしれない。

　Adobeの広報担当者は、そうした緊急アップデートがすぐにでも実施される可能性があることを示唆している。同担当者はパーカー氏がブログに同脆弱性を悪用した攻撃について記したことに関して、「攻撃コードが公になれば、（現在の局所的な攻撃は）様相を変えるだろう」と話している。

　パーカー氏は攻撃手法を表立っては公表していないが、同氏が発見した悪質なPDFにパスワードをかけて公開し、また電子メールでリクエストを送ってきた人々にはこれを提供しているという。

　Symantecは、ReaderおよびAcrobat利用者に対し、信用できない送信者や見知らぬ送信者から送られてきたPDFは開かないように注意を呼びかけている。