Adobe corrige Flash Player : Google Project Zero est passé par là
L’équipe Google Project Zero a découvert plus d’un tiers des 23 failles qu’Adobe corrige dans le dernier bulletin de sécurité associé à Flash Player.
Il est vivement recommandé d’appliquer la mise à jour de Flash Player publiée ce jeudi 10 mars par Adobe. Et pour cause : l’une des 23 failles corrigées est « activement exploitée » dans le cadre d’attaques ciblées.
Cette vulnérabilité, référencée CVE-2016-1010, est fondée sur un dépassement d’entier, c’est-à-dire une opération mathématique qui produit une valeur numérique supérieure à celle représentable dans l’espace de stockage disponible. Elle peut permettre à des tiers de prendre le contrôle d’une machine à distance, en injectant du code via une page Web ou une publicité malveillantes.
Les failles CVE-2016-0963 et CVE-2016-0993 sont elles aussi associées à des dépassements d’entiers. Onze autres reposent sur la technique « use-after-free », qui consiste à pointer vers une zone mémoire qui vient d’être libérée.
Adobe recense également une brèche basée sur un dépassement de tas, bug semblable à un dépassement de tampon, mais avec un débordement au niveau de la mémoire alloué dynamiquement lors de l’exécution d’un programme.
Les 8 autres vulnérabilités sont liées à différentes corruptions de mémoire.
Le bulletin de sécurité s’adresse à tous ceux qui utilisent Flash Player 20.0.0.306 ou toute version antérieure sous Windows ou OS X (18.0..329 pour la branche Extended Support Release ; 11.2.202.569 sur Linux). Les installations d’Adobe AIR sont également concernées, sur desktop, mais aussi sur mobile (Android, iOS) avec le kit de développement associé.
Concernant les navigateurs, la mise à niveau se fera automatiquement sur Chrome, ainsi que sur Internet Explorer (Windows 8.x, Windows 10) et Edge (Windows 10) de Microsoft.
Le CERT-FR, rattaché à l’Agence nationale de la sécurité des systèmes d’informations, a publié une alerte en parallèle d’Adobe.
On notera que sur les 23 failles colmatées, 8 ont été découvertes par des membres de l’équipe Google Project Zero. Le compteur est à 3 chez HP Entreprise dans le cadre de sa Zero Day Initiative. Microsoft et Kaspersky Lab figurent aussi sur la liste, au même titre que les groupes chinois Alibaba et Tencent.
Crédit photo : kentoh – Shutterstock.com