Adobe、10製品で約140件の脆弱性を修正

Adobeは10件の新たなセキュリティアドバイザリを公開し、自社製品で見つかり修正された約140件の脆弱性について、利用者に注意を促しました。

Adobe ColdFusionのアップデートでは32件の脆弱性が修正されました。このうちには、コード実行や権限昇格に悪用され得る深刻なバグも含まれます。

Adobeは、Content Credentials SDKでも多数の脆弱性を修正しました。同製品では30件の脆弱性が修正され、その多くは、セキュリティ機能のバイパスにつながり得る重要度の高い問題とされています。一部のセキュリティホールは、悪用されるとDoS状態を引き起こす可能性があります。

Photoshopでは18件の脆弱性が修正されました。ほぼすべてが任意のコード実行を可能にするものです。 

Substance 3D Stagerでは、16件の脆弱性が修正されました。その多くは、任意のコード実行につながる重要度の高い欠陥です。

Adobe Commerceでは11件の脆弱性が解消されました。認証なしでコード実行や権限昇格に悪用され得る深刻な問題も複数含まれています。

FrameMaker、Dimension、Substance 3D Sampler、Substance 3D Designer、Bridgeの各製品でも、任意のコード実行を可能にする脆弱性がそれぞれ複数修正されました。

Adobeによると、実環境での悪用は確認されていません。ほとんどのアドバイザリの優先度評価は「3」で、これらの脆弱性が攻撃で悪用される可能性は低いとAdobeは見ています。優先度「2」はCommerceのみです（攻撃者がこれまでにもCommerceを標的にしてきたためです）。

Adobeは自社コードの欠陥を探すために最先端のAIモデルを活用しており、これが修正件数の増加の一因とみられます。ただし、今回修正された脆弱性の多くについては、外部の研究者の貢献も明記されています。 

AIによってAdobeはソフトウェアの脆弱性をより多く発見できるようになりましたが、AIの支援によるコード変更は、デプロイ前にエンジニアがすべてレビュー、検証、承認しているということです。

脆弱性の発見件数が増えたことを受け、Adobeはセキュリティ情報を月1回公開する方式をやめました。現在は、毎月第2・第4火曜日の月2回の公開スケジュールに移行しています。