悪用確認
悪用確認済み（KEV）
CVE-2014-0502
更新ではなく「使用の中止」を求める記録 ― Flash Player の33件
2014年に採番された二重解放の脆弱性が、2024年9月17日にカタログへ追加されました。求められている措置は更新の適用ではなく、製品の利用をやめることです。
脆弱性の基本情報
- CVE番号CVE-2014-0502
- 対象（ベンダー／製品）Adobe Flash Player
- CWECWE-399
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2024-10-08（米連邦民生機関・BOD 22-01）
要点
- Adobe Flash Player の二重解放に起因し、遠隔から任意コード実行に至りうる脆弱性。
- 採番は2014年だが、カタログへの追加は2024年9月17日で10年の差がある。
- 求められる措置は更新ではなく、サポート終了製品としての「使用の中止」。
- Flash Player はカタログに33回登場し、CVE採番年は2010年〜2018年に収まっている。
1直す先が存在しない記録
前の記事は、是正の指示が新しい枠組みに更新された例でした。この記録は逆で、直すという選択肢そのものがありません。
Flash Player の登場回数33回製品別で4番目に多い
CVE採番年の範囲2010年〜2018年2015年が10件で最多
この記録の追加日2024年9月17日採番から10年後
2求められる措置が違う
観点通常の記録この記録
措置の文面ベンダーの指示に従って緩和策を適用する対象製品はサポート終了であり、利用を中止すべきである
猶予の意味更新を適用するまでの期間使用をやめるまでの期間
参照先更新の案内提供終了と代替手段の案内
達成の確認版が上がったか製品が環境から消えたか
「期限までに直す」ではなく「期限までにやめる」という指示です。運用の現場では、この二つは難易度がまったく違います。更新は適用すれば終わりますが、廃止は代替手段の用意と、依存している業務の切り替えを伴います。
310年前のCVEがいま載る意味
採番は2014年、カタログ入りは2024年9月です。この10年の差は、脆弱性が新しく見つかったことを意味しません。古い脆弱性が、いまも悪用されていると確認されたことを意味します。すでに提供が終わった製品が環境に残っていれば、10年前の欠陥がそのまま入口になります。
Flash Player の33件は、CVEの採番年で2010年から2018年に収まっています。新しい欠陥はもう増えません。増えないまま、残っている環境だけが狙われます。
次の記事では、直す相手が一つに定まらない記録を見ます。
なぜ重要か
脆弱性対応を更新の適用率だけで測ると、サポート終了製品の記録は指標に現れません。廃止すべき製品が環境に残っていないかを、別の指標として追跡する必要があります。
よくある質問（FAQ）
なぜ10年前の脆弱性がいま載るのですか。
新しく見つかったからではなく、いまも悪用されていることが確認されたためです。提供が終わった製品が残っていれば、古い欠陥がそのまま入口になります。
更新を当てれば済みませんか。
この記録では当てる先がありません。対象製品はサポート終了であり、措置として利用の中止が示されています。
二重解放とはどのような欠陥ですか。
同じメモリ領域を二度解放してしまう欠陥です。解放済みの領域を攻撃者が操作できると、任意のコード実行につながることがあります。
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。
#KEV#悪用確認#Flash Player#サポート終了#脆弱性管理