脅威リサーチ

フォーティネットのセキュリティリサーチャー、Adobe IllustratorおよびPhotoshopに複数の脆弱性を発見

投稿者 Kushal Arvind Shah および Yonghui Han | 2022年3月3日

影響を受けるプラットフォーム:WindowsおよびMacOS

影響を受けるユーザー:Adobe Illustrator 2022バージョン26.0.2以前のユーザー

                                   Adobe Illustrator 2021バージョン25.4.3以前のユーザー

                                   Adobe Photoshop 2022バージョン23.1以前のユーザー

                                   Adobe Photoshop 2021バージョン22.5.4以前のユーザー

影響:任意コード実行または情報漏洩につながる複数の脆弱性

深刻度:クリティカルおよび重要

2021年末頃に、フォーティネットのセキュリティリサーチャーであるKushal Arvind ShahとYonghui Hanは、Adobe IllustratorおよびPhotoshop内に多数のゼロデイ脆弱性を発見して報告しました。今回の「Patch Tuesday」(2022年2月8日)で、Adobeはいくつかのセキュリティパッチ(1および2)を公開し、そのうちの14件の脆弱性が修正されました。これらの脆弱性の呼称は次のとおりです:CVE-2022-23186、CVE-2022-23188、CVE-2022-23189、CVE-2022-23190、CVE-2022-23191、CVE-2022-23192、CVE-2022-23193、CVE-2022-23194、CVE-2022-23195、CVE-2022-23196、CVE-2022-23197、CVE-2022-23198、CVE-2022-23199、CVE-2022-23203。脆弱性の根本原因はすべて異なり、多数のIllustrator / Photoshopプラグインに関連しています。これらの脆弱性の深刻度を考慮して、Adobeのパッチをできるだけ早く適用することをお勧めします。

これらの脆弱性の詳細について、下記にていくつか説明します。詳細な情報は、下記CVEリンクをクリックして、Fortinet ゼロデイアドバイザリの関連ページ(英語)を参照してください。

CVE-2022-23186

これは、Adobe Illustrator内のCDR(CorelDraw Drawing)ファイルのデコードに存在する任意コード実行の脆弱性です。具体的には、この脆弱性の原因は不正な形式のCDRファイルです。これにより、不適切な境界チェックが原因で、境界外書き込みのメモリアクセスが引き起こされます。

遠隔攻撃者は、この脆弱性を悪用して、巧みに作られたCDRファイルを通じて対象アプリケーションのコンテキスト内で任意のコードを実行できる可能性があります。

フォーティネットではお客様をプロアクティブに保護するために、この特定の脆弱性に対してIPSシグネチャAdobe.Illustrator.CVE-2022-23186.Arbitrary.Code.Executionをリリースしています。

CVE-2022-23188

これは、Adobe IllustratorのMPSプラグイン内のバッファオーバーフローの脆弱性です。具体的には、この脆弱性の原因は不正な形式のPCT(Macintosh Picture Image)ファイルです。不正な形式のPCTファイルは、割り当て済みバッファへのポインタの操作時の不適切な境界チェックが原因で、境界外書き込みのメモリアクセスが引き起こされます。

遠隔攻撃者は、この脆弱性を悪用して、巧みに作られたPCTファイルを通じて対象アプリケーションのコンテキスト内で任意のコードを実行できる可能性があります。

フォーティネットではお客様をプロアクティブに保護するために、この特定の脆弱性に対してIPSシグネチャAdobe.Illustrator.CVE-2022-23188.Buffer.Overflowをリリースしています。

CVE-2022-23189

これは、Adobe Illustrator内のDWG(AutoCAD Drawing)ファイルのデコードに存在するNULLポインタ逆参照の脆弱性です。具体的には、この脆弱性の原因は不正な形式のDWGファイルです。不正な形式のDWGファイルは、NULLポインタの逆参照を発生させます。

攻撃者は、巧みに作られたDWGファイルを使用してこの脆弱性を悪用でき、その結果として、アプリケーションのサービス妨害が引き起こされる可能性があります。

フォーティネットではお客様をプロアクティブに保護するために、この特定の脆弱性に対してIPSシグネチャAdobe.Illustrator.CVE-2022-23189.Null.Pointer.Dereferenceをリリースしています。

CVE-2022-23190

これは、Adobe Illustrator内のCGM(Computer Graphics Metafile)ファイルのデコードに存在するメモリ破損の脆弱性です。具体的には、この脆弱性の原因は不正な形式のCGMファイルです。不正な形式のCGMファイルは、不適切な境界チェックが原因で、境界外読み取りのメモリアクセスが引き起こされます。この脆弱性は、Reader_for_CGMプラグインに存在します。

攻撃者はこの脆弱性を悪用して、意図されていないメモリ読み取りを発生させることができ、その結果として、巧みに作られたCGMファイルを通じてメモリデータ漏洩が引き起こされる可能性があります。

フォーティネットではお客様をプロアクティブに保護するために、この特定の脆弱性に対してIPSシグネチャAdobe.Illustrator.CVE-2022-23190.Memory.Corruptionをリリースしています。

CVE-2022-23191

これは、Adobe Illustrator内のPCT(Macintosh Picture Image)ファイルのデコードに存在するメモリ破損の脆弱性です。具体的には、この脆弱性の原因は不正な形式のPCTファイルです。不正な形式のPCTファイルは、不適切な境界チェックが原因で、境界外読み取りのメモリアクセスが引き起こされます。この脆弱性は、MPSプラグインに存在します。

攻撃者はこの脆弱性を悪用して、意図されていないメモリ読み取りを発生させることができ、その結果として、巧みに作られたPCTファイルを通じてメモリデータ漏洩が引き起こされる可能性があります。

フォーティネットではお客様をプロアクティブに保護するために、この特定の脆弱性に対してIPSシグネチャAdobe.Illustrator.CVE-2022-23191.Memory.Corruptionをリリースしています。

CVE-2022-23192

これは、Adobe Illustrator内のAI(Adobe Illustrator Artwork)ファイルのデコードに存在するメモリ破損の脆弱性です。具体的には、この脆弱性の原因は不正な形式のAIファイルです。不正な形式のAIファイルは、不適切な境界チェックに起因する境界外のメモリアクセスを発生させます。

攻撃者はこの脆弱性を悪用して、意図されていないメモリ読み取りを発生させることができ、その結果として、巧みに作られたAIファイルを通じてメモリデータ漏洩が引き起こされる可能性があります。

フォーティネットではお客様をプロアクティブに保護するために、この特定の脆弱性に対してIPSシグネチャAdobe.Illustrator.CVE-2022-23192.Memory.Corruptionをリリースしています。

CVE-2022-23193

これは、Adobe Illustrator内のPDF(Portable Document Format)ファイルのデコードに存在するメモリ破損の脆弱性です。具体的には、この脆弱性の原因は不正な形式のPDFファイルです。不正な形式のPDFファイルは、不適切な境界チェックに起因する境界外のメモリアクセスを発生させます。

攻撃者はこの脆弱性を悪用して、意図されていないメモリ読み取りを発生させることができ、その結果として、巧みに作られたPDFファイルを通じてメモリデータ漏洩が引き起こされる可能性があります。

フォーティネットではお客様をプロアクティブに保護するために、この特定の脆弱性に対してIPSシグネチャAdobe.Illustrator.CVE-2022-23193.Memory.Corruptionをリリースしています。

CVE-2022-23194

これは、Adobe Illustrator内のCGM(Computer Graphics Metafile)ファイルのデコードに存在するメモリ破損の脆弱性です。具体的には、この脆弱性の原因は不正な形式のCGMファイルです。不正な形式のCGMファイルは、不適切な境界チェックが原因で、境界外読み取りのメモリアクセスが引き起こされます。この脆弱性は、Reader_for_CGMプラグインに存在します。

攻撃者はこの脆弱性を悪用して、意図されていないメモリ読み取りを発生させることができ、その結果として、巧みに作られたCGMファイルを通じてメモリデータ漏洩が引き起こされる可能性があります。

フォーティネットではお客様をプロアクティブに保護するために、この特定の脆弱性に対してIPSシグネチャAdobe.Illustrator.CVE-2022-23194.Memory.Corruptionをリリースしています。

CVE-2022-23195

これは、Adobe Illustrator内のCGM(Computer Graphics Metafile)ファイルのデコードに存在するメモリ破損の脆弱性です。具体的には、この脆弱性の原因は不正な形式のCGMファイルです。不正な形式のCGMファイルは、不適切な境界チェックが原因で、境界外読み取りのメモリアクセスが引き起こされます。この脆弱性は、Reader_for_CGMプラグインに存在します。

攻撃者はこの脆弱性を悪用して、意図されていないメモリ読み取りを発生させることができ、その結果として、巧みに作られたCGMファイルを通じてメモリデータ漏洩が引き起こされる可能性があります。

フォーティネットではお客様をプロアクティブに保護するために、この特定の脆弱性に対してIPSシグネチャAdobe.Illustrator.CVE-2022-23195.Memory.Corruptionをリリースしています。

CVE-2022-23196

これは、Adobe Illustrator内のCDR(CorelDraw Drawing)ファイルのデコードに存在するメモリリークの脆弱性です。具体的には、この脆弱性の原因は不正な形式のCDRファイルです。不正な形式のCDRファイルは、不適切な境界チェックに起因する境界外のメモリアクセスを発生させます。

攻撃者はこの脆弱性を悪用して、意図されていないメモリ読み取りを発生させることができ、その結果として、巧みに作られたCDRファイルを通じてメモリデータ漏洩が引き起こされる可能性があります。

フォーティネットではお客様をプロアクティブに保護するために、この特定の脆弱性に対してIPSシグネチャAdobe.Illustrator.CVE-2022-23196.Memory.Leakをリリースしています。

CVE-2022-23197

これは、Adobe Illustrator内のCDR(CorelDraw Drawing)ファイルのデコードに存在するメモリリークの脆弱性です。具体的には、この脆弱性の原因は不正な形式のCDRファイルです。不正な形式のCDRファイルは、不適切な境界チェックに起因する境界外のメモリアクセスを発生させます。

攻撃者はこの脆弱性を悪用して、意図されていないメモリ読み取りを発生させることができ、その結果として、巧みに作られたCDRファイルを通じてメモリデータ漏洩が引き起こされる可能性があります。

フォーティネットではお客様をプロアクティブに保護するために、この特定の脆弱性に対してIPSシグネチャAdobe.Illustrator.CVE-2022-23197.Memory.Leakをリリースしています。

CVE-2022-23198

これは、Adobe Illustrator内のCDR(CorelDraw Drawing)ファイルのデコードに存在するNULLポインタ逆参照の脆弱性です。具体的には、この脆弱性の原因は不正な形式のCDRファイルです。不正な形式のCDRファイルは、NULLポインタの逆参照を発生させます。

攻撃者は、巧みに作られたCDRファイルを使用してこの脆弱性を悪用でき、その結果として、アプリケーションのサービス妨害が引き起こされる可能性があります。

フォーティネットではお客様をプロアクティブに保護するために、この特定の脆弱性に対してIPSシグネチャAdobe.Illustrator.CVE-2022-23198.Null.Pointer.Dereferenceをリリースしています。

CVE-2022-23199

これは、Adobe Illustrator内のCDR(CorelDraw Drawing)ファイルのデコードに存在するNULLポインタ逆参照の脆弱性です。具体的には、この脆弱性の原因は不正な形式のCDRファイルです。不正な形式のCDRファイルは、NULLポインタの逆参照を発生させます。

攻撃者は、巧みに作られたCDRファイルを使用してこの脆弱性を悪用でき、その結果として、アプリケーションのサービス妨害が引き起こされる可能性があります。

フォーティネットではお客様をプロアクティブに保護するために、この特定の脆弱性に対してIPSシグネチャAdobe.Illustrator.CVE-2022-23199.NULL.Pointer.Dereferenceをリリースしています。

CVE-2022-23203

これは、Adobe Photoshop内のU3D(Universal 3D)ファイルのデコードに存在するバッファオーバーフローの脆弱性です。具体的には、この脆弱性の原因は不正な形式のU3Dファイルです。不正な形式のU3Dファイルは、不適切な境界チェックに起因する境界外のメモリアクセスを発生させます。この脆弱性は、U3Dプラグインに存在します。

遠隔攻撃者は、この脆弱性を悪用して、巧みに作られたU3Dファイルを通じて対象アプリケーションのコンテキスト内で任意のコードを実行できる可能性があります。

フォーティネットではお客様をプロアクティブに保護するために、この特定の脆弱性に対してIPSシグネチャAdobe.Photoshop.CVE-2022-23203.Arbitrary.Code.Executionをリリースしています。