米Adobe Systemsは現地時間11月14日，同社の「Flash Player」に複数のセキュリティ・ホールが見つかったことを明らかにした。セキュリティ・ホールを悪用されると，クライアントが要求するHTTPヘッダーを改ざんされる恐れがあるという。その結果，最悪の場合，セッションを乗っ取られる可能性などがある。影響を受けるのはFlash Player 9.x／8.x／7.x。対策は，セキュリティ・ホールを修正したバージョン9.0.28.0にアップグレードすること。
Flash Playerには，クライアントから送信するHTTPヘッダーの取り扱いに問題があることが明らかとなった。このため攻撃者は，クライアントが送信するHTTPヘッダーに任意のコマンドなどを挿入して，いわゆる「HTTP Request Splitting攻撃」を仕掛けることができるという。この攻撃は，クロスサイト・スクリプティング（XSS）攻撃やクロスサイト・リクエスト・フォージェリ（CSRF）攻撃などに悪用可能。最悪の場合，ユーザーのセッションを乗っ取られたり，ユーザーの意図しない処理を実行させられたりする恐れがある。
今回のセキュリティ・ホールを悪用されても，「ファイルを開くだけ」あるいは「Webページにアクセスするだけ」で悪質なプログラムを実行させられることはない。このため同社では，今回のセキュリティ・ホールの緊急度（Severity）を，4段階評価で上から2番目の「重要（Important）」に設定している。同社の定義では，「悪用された場合，機密データへのアクセスを含むデータ・セキュリティや，ユーザー・コンピュータ上の処理資源に対して悪影響を及ぼす可能性を生じる脆弱性」に対して「重要」を設定するという（同社の定義，定義の日本語訳）。
今回のセキュリティ・ホールを修正した最新版のFlash Player 9.0.28.0は同社のダウンロード・サイトから入手できる。現在インストールされているFlash Playerのバージョンは，「Macromedia Flash Player」ページにアクセスすれば確認できる。
なお今回のセキュリティ・ホール（APSB06-18）は，マイクロソフトが11月の“月例パッチ”の一つとしてリリースしたFlash Playerで修正されているものとは別物（関連記事：マイクロソフトが月例パッチを公開）。同パッチ（MS06-069のパッチ）で修正されているのは，Adobeが2006年9月に公表したセキュリティ・ホール（APSB06-11）である（関連記事：Flash Playerに危険なセキュリティ・ホール）。MS06-069のパッチを適用した環境でも，今回のセキュリティ・ホールは存在する。
