セキュリティ速報

Adobe Flash PlayerのHTTPヘッダインジェクション脆弱性に対処するためのアップデート公開

リリース日：2006年11月14日

脆弱性識別番号：APSB06-18

CVE番号：CVE-2006-5330

プラットフォーム：全プラットフォーム

概要

アドビでは、Adobe Flash Playerの潜在的な脆弱性を解消するために、Flash Playerのアップデートを提供しています。これらの脆弱性を悪用することで、リモートアタッカーはクライアントが要求するHTTPヘッダを改竄することが可能となり、HTTP Request Splitting攻撃を仕掛けられるようになる可能性があります。

影響を受けるソフトウェアとバージョン

Adobe Flash Player 9.x、8.x、7.x。カスタムヘッダ追加機能はAdobe Flash Player 7から搭載されました。したがって、Flash Player 6以前のソフトウェアには影響が及びません。

Adobe Flash Playerのバージョン番号を確認するには、Adobe Flash Playerのページにアクセスするか、Flashコンテンツ上で右クリックし、メニューから「Macromedia Flash Playerについて」を選択してください。複数のブラウザを利用している場合は、システム上にインストールされたブラウザごとに、この確認作業を行うようにしてください。

解決方法

アドビでは、Adobe Flash Player 9.0.20.0以前をご利用のすべてのユーザに、Playerダウンロードセンターから最新バージョンの9.0.28.0をダウンロードして、アップグレードを行うことを推奨しています。またアップグレードは、製品内の自動更新画面を利用しても行えます。

Adobe Flash Player 9へのアップグレード時に問題が生じる場合は、Flash Playerのアップデートに関するテクニカルノートを参照してください。

重要度

アドビはこの問題を重要と分類し、対象ユーザの皆様にバージョン9.0.28.0へのアップデートを推奨します。

詳細

アドビでは、Adobe Flash Playerの脆弱性を解消するためにアップデートを提供しています。これらの脆弱性を利用することによって、リモートアタッカーはクライアントが要求する HTTPヘッダを改竄することが可能となり、HTTP Request Splitting攻撃を仕掛けることができます。どのような攻撃が可能であるかは、利用されるWebブラウザの種類によって異なります。

Flash Player 8アップデート（8.0.34.0）およびFlash Player 7アップデート（7.0.67.0または7.0.69.0）は、旧バージョンのFlash Playerのセキュリティ脆弱性を修正するためのものです。また、これらの脆弱性に対するフィックスを収録したLinux版およびSolaris版Flash Player 7のアップデートは、Adobe Playerダウンロードセンターより入手できます。

対象製品	推奨されるPlayerアップデート	提供状況
Flash Player 9.0.20.0および下位バージョン	9.0.28.0	Playerダウンロードセンター
Flash Player 9.0.20.0および下位バージョン - ネットワーク配布	9.0.28.0	Playerライセンス*
Flash Player 7.0.68.0および下位バージョン（Linux版）	7.0.69.0	Playerダウンロードセンター
Flash Player 7.0.66.0および下位バージョン（Solaris版）	7.0.67.0	Playerダウンロードセンター
Flash Professional 8、Flash Basic	8.0.34.0	Flash Player 8アップデート - Flash Professional 8、Flash Basic用
Flash MX 2004	7.0.69.0	Flash Player 7アップデータ - Flash MX 2004およびFlash MX Professional 2004用
Flex 2.0	9.0.28.0	Flash Debug Playerアップデータ*

更新履歴

2006年12月６日 - セキュリティ速報更新
2006年11月14日 - セキュリティ速報公開

免責条項

使用許諾条件

Adobe Systems Incorporatedまたはその子会社（「アドビ社」）のソフトウェアを使用すると、下記のライセンス許諾契約の諸条件を承諾したことになります。この契約の諸条件を承諾しない場合は、このソフトウェアを使用しないでください。特定のソフトウェアファイルのインストール時またはダウンロード時に付随するエンドユーザ使用許諾契約の条項は、下記の条項よりも優先されます。

アドビシステムズ社のソフトウエア製品の輸出および再輸出は米国輸出管理規則により規制されており、キューバ、イラン、イラク、リビア、北朝鮮、スーダンもしくはシリアまたはその他米国政府が輸出を禁ずる国への輸出および再輸出は許可されません。さらに、アドビのソフトウエア製品はTOD（Table Of Denial Order）、Entity ListまたはList of Specially Designated Nationalsの取引禁止対象者リストの対象者へ頒布することは許可されておりません。

アドビのソフトウエア製品をダウンロードまたは使用することにより、お客樣にはキューバ、イラン、イラク、リビア、北朝鮮、スーダンもしくはシリアまたはその他米国政府が輸出を禁ずる国の国民でないこと、TOD、Entity ListまたはList of Specially Designated Nationalsの取引禁止対象者リストの対象者ではないことを証していただきます。

本ソフトウエアが他のアドビ製品（以下「ホストアプリケーション」）との併用を予定している場合、アドビは本ソフトウェアを専らホストアプリケーションと併用するために使用できる非排他的な権利を許諾します。ただし、かかる許諾はお客様がホストアプリケーションの正規ライセンスを有していることを条件とします。下記に定める規定を除き、本ソフトウエアの使用条件はホストアプリケーションの使用について適用されるアドビのエンドユーザ使用許諾契約の規定によるものとします。

保証の免責：お客様は、アドビが本ソフトウェアに関して明示的な保証を一切行わず、本ソフトウェアが「現状のまま」でいかなる保証もなく提供されていることを承諾します。アドビは、本ソフトウェアについて、特定の用途に対する適性、商業価値、商業上の品質、または第三者の権利の尊重を含むがそれに限定されない明示的または黙示的な保証は一切行っていません。国または法域によっては黙示の保証の除外が認められていないため、上記の限定は適用されない場合があります。

有限責任：契約、不法行為（過失を含む）、厳格な製造物責任またはその他の行為の形態にかかわらず、いかなる使用の損失、業務中断、または営利喪失を含む直接的、間接的、個別的、偶発的、副次的ないかなる損害に関して、事前に当該損害の可能性が勧告されていた場合でも、アドビはいかなる責任も負いません。国または法域によっては付随的または派生的な損害の除外または限定が認められていないため、上記の除外および限定は適用されない場合があります。