フォーティネットのセキュリティリサーチャーがAdobe Illustratorに複数の脆弱性を発見

米国時間2021年10月29日に掲載されたフォーティネットブログの抄訳です。

FortiGuard Labs Threat Research Report

影響を受けるプラットフォーム：　Windows
影響を受けるユーザー：　　　　　Adobe Illustrator 2021、バージョン 25.4.1以前のユーザー
影響：　　　　　　　　　　　　　複数の脆弱性による任意コード実行、メモリリーク、アプリケーションのサービス拒否
深刻度：　　　　　　　　　　　　クリティカル

2021年8月、私はAdobe Illustratorにて複数のゼロデイ脆弱性を発見し、Adobe, Incに報告しました。これらの脆弱性を修正するセキュリティパッチが、2021年10月26日（火）にリリースされました。確認されたのは、CVE-2021-40718、CVE-2021-40746、CVE-2021-40747、CVE-2021-40748、CVE-2021-40749です。これらの脆弱性にはすべて、単一のIllustratorプラグインに関連する同様の根本原因があります。Adobeパッチをできるだけ早く適用することをお勧めします。

これらの脆弱性の詳細について、下記にていくつか説明します。詳細な情報は、下記CVEリンクをクリックして、Fortinet ゼロデイアドバイザリの関連ページ（英語）を参照してください。

CVE-2021-40718：

これは、Adobe IllustratorのAutoCAD図面ファイル（「DWG」ファイル）のデコードにあるメモリリークの脆弱性です。特にこの脆弱性は、不正なDWGファイルが原因で発生します。これにより、不適切な境界チェックが原因で、境界外読み取りのメモリアクセスが引き起こされます。

攻撃者はこの脆弱性を利用して、意図しないメモリ読み込みを行い、メモリデータの漏洩を引き起こす恐れがあります。

フォーティネットではお客様をプロアクティブに保護するために、以前からこの特定の脆弱性に対してIPSシグネチャ「Adobe.Illustrator.CVE-2021-40718.Memory.Leak」をリリースしています。

CVE-2021-40746：

これは、Adobe IllustratorのAutoCAD図面ファイル（「DWG」ファイル）のデコードにある任意コード実行の脆弱性です。特にこの脆弱性は、不正なDWGファイルが原因で発生します。これにより、不適切な境界チェックが原因で、境界外のメモリアクセスが引き起こされます。

攻撃者はこの脆弱性を利用して、精巧に作られたDWGファイルを介して、アプリケーションのコンテキスト内で任意のコードを実行する恐れがあります。

フォーティネットではお客様をプロアクティブに保護するために、以前からこの特定の脆弱性に対してIPSシグネチャ「Adobe.Illustrator.CVE-2021-40746.Arbitrary.Code.Execution」をリリースしています。

CVE-2021-40747：

これは、Adobe IllustratorのAutoCAD図面ファイル（「DWG」ファイル）のデコードにあるメモリ破損の脆弱性です。特にこの脆弱性は、不正なDWGファイルが原因で発生します。これにより、NULLポインタの逆参照が引き起こされます。

また、攻撃者はこの脆弱性を利用して、精巧に作られたDWGファイルを介して、アプリケーションのサービス拒否を引き起こす恐れがあります。

フォーティネットではお客様をプロアクティブに保護するために、以前からこの特定の脆弱性に対してIPSシグネチャ「Adobe.Illustrator.CVE-2021-40747.DoS」をリリースしています。

CVE-2021-40748：

これは、Adobe IllustratorのAutoCAD図面ファイル（「DWG」ファイル）のデコードにあるメモリ破損の脆弱性です。特にこの脆弱性は、不正なDWGファイルが原因で発生します。これにより、NULLポインタの逆参照が引き起こされます。

また、攻撃者はこの脆弱性を利用して、精巧に作られたDWGファイルを介して、アプリケーションのサービス拒否を引き起こす恐れがあります。

フォーティネットではお客様をプロアクティブに保護するために、以前からこの特定の脆弱性に対してIPSシグネチャ「Adobe.Illustrator.CVE-2021-40748.DoS」をリリースしています。

CVE-2021-40749：

これは、Adobe IllustratorのAutoCAD図面ファイル（「DWG」ファイル）のデコードにあるメモリ破損の脆弱性です。特にこの脆弱性は、不正なDWGファイルが原因で発生します。これにより、NULLポインタの逆参照が引き起こされます。

また、攻撃者はこの脆弱性を利用して、精巧に作られたDWGファイルを介して、アプリケーションのサービス拒否を引き起こす恐れがあります。

フォーティネットではお客様をプロアクティブに保護するために、以前からこの特定の脆弱性に対してIPSシグネチャ「Adobe.Illustrator.CVE-2021-40749.DoS」をリリースしています。