Discussion :

[Victor Vincent]

Une faille de sécurité d'Adobe Flash Player permet de prendre le contrôle de l'ordinateur cible,
désinstaller le logiciel est pour le moment la seule issue

Un jour après la publication des patchs de sécurité pour plusieurs de ses logiciels, Flash Player inclus, Adobe a confirmé l'existence d'un problème majeur de sécurité de son lecteur Flash pour toutes les versions du logiciel sur les plateformes Windows, Mac et Linux. La compagnie a déclaré avoir été averti du fait que cette faille est utilisée par des hackers pour attaquer des utilisateurs en précisant que les attaques en questions étaient limitées et ciblées. En exploitant cette faille, un hacker est en mesure de faire planter l’ordinateur cible ou même d'en prendre totalement le contrôle. La seule possibilité qu'a actuellement l’utilisateur pour se protéger contre des attaques qui s'appuient sur cette faille est de désinstaller complètement le logiciel.

Adobe travaille sur une mise à jour pour résoudre ce problème et qui sera disponible d’ici la semaine prochaine sans pour autant préciser une date butoir.

Cette faille a été découverte par des chercheurs de la société Trend Micro qui l’ont fait savoir dans un billet de blog. Les chercheurs ont découvert qu'une faille Flash Player était exploitée par la campagne de piratage baptisée Pawn Storm. Pour rappel, « Operation Pawn Storm » est une opération d’espionnage économique et politique à grande échelle par un groupe de pirates russes, qui vise un large éventail de personnalités, dont les gouvernements, les militaires, les médias, l’industrie de la défense, etc. Si les pirates n'ont visé pour le moment que de si grosses cibles, Adobe ne peut pas certifier que les hackers ne vont pas s'attaquer à des cibles plus modestes. En attendant donc que la solution soit trouvée, la sonnette d’alarme est tirée. La seule façon de protéger votre ordinateur est de complètement désinstaller le logiciel.

Source : Adobe, Trend Micro

Et vous ?

Qu'en pensez-vous ?

Voir aussi

le forum Sécurité

XAgent : un malware qui dérobe les données personnelles sous iOS, découvert par les experts de Trend Micro

[RyzenOC]

Comme pour chaque mois en gros

[a028762]

C'est vraiment le maillon faible, Flash !
Cela fait des années qu'on en entend parler de ces failles.
Et dire que Mozilla vient de décider de ne plus supporter des plug-ins ... sauf Flash player, c'est encore trop utilisé, malgré Html5

[TiranusKBX]

C'est pas pour rien que tous les plugins sont bloquées par default sur mes navigateurs, Flash y compris

[Zefling]

Je ne sais pas pourquoi, mais j'ai pas l'impression que ça aura un impact l'accélération de la disparition de Flash. Enfin, sauf si l'info arrive dans les « grands médias » (et encore).

[hugotte]

J'ai quand même l'impression qu'on blâme flash (comme comme d'autres outils java, windows, maintenant android) un peu trop facilement.
Être populaire au point d'être installer ou utiliser sur une majorité de système, et rester sans faille (connue !) est impossible.

Dans le cas de flash, oui c'est facilement remplaçable dans le cas des vidéos, des pubs, des sites interactifs avancés. Mais je comprends les éditeurs, développeurs de ne pas vouloir recoder leurs milliers de jeu. Et Firefox perdrait encore une flopée d'utilisateurs qui jouent à ces jeux, si Firefox abandonnait son support de flash.

[bytecode]

Je ne sais pas pourquoi, mais j'ai pas l'impression que ça aura un impact l'accélération de la disparition de Flash. Enfin, sauf si l'info arrive dans les « grands médias » (et encore).

Abysssec a disparu pas flash et pourtant ils ont trouver plusieurs O-days sur flash et adobe flex...

[TiranusKBX]

J'ai quand même l'impression qu'on blâme flash (comme comme d'autres outils java, windows, maintenant android) un peu trop facilement.
Être populaire au point d'être installer ou utiliser sur une majorité de système, et rester sans faille (connue !) est impossible.

Dans le cas de flash, oui c'est facilement remplaçable dans le cas des vidéos, des pubs, des sites interactifs avancés. Mais je comprends les éditeurs, développeurs de ne pas vouloir recoder leurs milliers de jeu. Et Firefox perdrait encore une flopée d'utilisateurs qui jouent à ces jeux, si Firefox abandonnait son support de flash.

Les médias ne rapportent que les problèmes informatique ayant des fortes conséquence économique ou politique donc tant q'un Malware n'utilise pas ces failles pour tirer du fric a beaucoup de personnes à travers flash et bien on en entendras pas parler au JT

[RyzenOC]

J'ai quand même l'impression qu'on blâme flash (comme comme d'autres outils java, windows, maintenant android) un peu trop facilement.

On blâme inefficacité de l'éditeur.

Prenons Windows, MS à fait de gros effort pour sécurisé sont OS avec Windows Vista (UAC par exemple) et Windows8 (ELAM par exemple...)

Flash que l'on soit en 2010 ou en 2015, y'a toujours des failles critiques.

Android à ma connaissance Google n'a pas fais grand chose pour améliorer sa sécurité (les apps peuvent toujours récupérer tout et n'importe quoi sans pouvoir les contrôler), mais c'est il me semble en discussion. Et concernant les failles d'android, sa ne sert a rien que google prenne la peine de les corriger puisque les constructeurs ne publie pas les maj (pas avant au moins 6 mois )

Maintenant soyons critique, les failles de flash on les transposes a l'html5, mais html5 (qui peut tourner/tourne dans une sandbox) est quand même plus sécurisé que flash qui à aces aux ressources systèmes (sa utilise des activX ou l'api Npapi, les trucs les moins sécurisés de toute l'histoire de l'informatique).

[Stéphane le calme]

Adobe publie un correctif pour colmater une faille zero-day de Flash
qui était exploitée depuis des mois

La semaine dernière, Adobe a confirmé l’existence d’une faille importante de sécurité sur son lecteur Flash qui pouvait être utilisée pour mener des attaques « limitées et ciblées » sur les plateformes Windows, OS X et Linux, mais aussi depuis les versions plug-in du lecteur pour les navigateurs Google Chrome, Microsoft Edge (Windows 10) et Internet Explorer (Windows 8 et 8.1). L’entreprise avait alors recommandé de désinstaller le logiciel par mesure de précaution étant donné qu’un pirate exploitant cette faille était en mesure de faire planter l’ordinateur cible ou même d’en prendre totalement le contrôle. Adobe avait confié être en train de travailler sur une mise à jour pour colmater cette faille qui serait disponible au courant de cette semaine.

C’est désormais chose faite. Adobe a publié un correctif d’urgence beaucoup plus vite que prévu pour colmater la brèche découverte par les chercheurs de la société Trend Micro qui ont découvert qu’elle était activement utilisée dans une campagne de piratage baptisée Operation Pawn Storm, une opération d’espionnage économique et politique à grande échelle par un groupe de pirates russes, qui vise un large éventail de personnalités, dont les gouvernements, les militaires, les médias, l’industrie de la défense, etc.

Au passage, Adobe en a profité pour colmater deux autres failles, identifiées comme étant CVE-2015-7647 et CVE-2015-7648 où il est indiqué que les versions d’Adobe Flash Player antérieures à la version 18.0.0.255 ainsi que celles de la branche 19.x antérieures à 19.0.0.226 sur les plateformes Windows et OS X et les versions antérieures à 11.2.202.540 sur Linux permettent aux pirates d’exécuter du code arbitraire en se servant d’une « confusion de type » non spécifiée. Même si les deux vulnérabilités présentent la même description, Adobe précise néanmoins qu’elles sont différentes l’une de l’autre.

Pour rappel, d’ordinaire, lorsqu’une portion de code ne vérifie pas le type d’objet qui lui est passé et l’utilise à l’aveuglette, cela peut conduire à une confusion de type. Ce genre de situation peut s’avérer dangereuse dans la mesure où un type est exprimé comme une disposition dans l’implémentation bas niveau de Flash. De plus, avec les confusions de type, les mauvais pointeurs sur les fonctions ou les mauvaises données sont assignés à la mauvaise portion du code. Ce qui peut dans certains cas conduire à une exécution du code.

L’entreprise a vivement recommandé aux utilisateurs d’effectuer la mise à jour aussi vite que possible.

Source : Adobe, CVE-2015-7647, CVE-2015-7648

Voir Aussi :

XAgent : un malware qui dérobe les données personnelles sous iOS, découvert par les experts de Trend Micro

[Algo D.DN]

Si les pirates n'ont visé pour le moment que de si grosses cibles, Adobe ne peut pas certifier que les hackers ne vont pas s'attaquer à des cibles plus modestes.

Perso je ne vois pas trop quel intérêt auraient des hackers à plomber le PC des Michus, les zombifier à la limite...
Par contre toujours autant de failles dans Flash, c'est un peu à se demander si quelque part il n'y aurait pas une histoire à l'insu de notre plein gré, Adobe c'est pas trois geeks dans un garage s'essayant à l'exploit ou au crack en mesurant leur gosu, à se demander si tous les trous découverts dans flash ne sont pas en fait des vieilles tendances post-DRM fait à l'arrache.

En attendant donc que la solution soit trouvée, la sonnette d’alarme est tirée. La seule façon de protéger votre ordinateur est de complètement désinstaller le logiciel.

Désinstaller flash... en attendant qu'une solution soit trouvée... puis Kant le Flash nouveau sera là, réée-installer, mais no problems hein, lui sera livrée avec une boîte de rustines des valves et un démonte pneu certifiés...

[Iradrille]

Perso je ne vois pas trop quel intérêt auraient des hackers à plomber le PC des Michus, les zombifier à la limite...

Mr et Mme Michu utilisent leur PC pour aller voir leurs mails, leurs relevés de comptes, ils ont peut être aussi un compte Paypal / Facebook / Twitter, bref tout plein de trucs qui se revendent bien sur le marché parallèle.