Il est vivement recommandé d’appliquer la mise à jour de Flash Player publiée ce jeudi 10 mars par Adobe. Et pour cause : l’une des 23 failles corrigées est « activement exploitée » dans le cadre d’attaques ciblées.
Cette vulnérabilité, référencée CVE-2016-1010, est fondée sur un dépassement d’entier, c’est-à-dire une opération mathématique qui produit une valeur numérique supérieure à celle représentable dans l’espace de stockage disponible. Elle peut permettre à des tiers de prendre le contrôle d’une machine à distance, en injectant du code via une page Web ou une publicité malveillantes.
Les failles CVE-2016-0963 et CVE-2016-0993 sont elles aussi associées à des dépassements d’entiers. Onze autres reposent sur la technique « use-after-free », qui consiste à pointer vers une zone mémoire qui vient d’être libérée.
Adobe recense également une brèche basée sur un dépassement de tas, bug semblable à un dépassement de tampon, mais avec un débordement au niveau de la mémoire alloué dynamiquement lors de l’exécution d’un programme.
Les 8 autres vulnérabilités sont liées à différentes corruptions de mémoire.
Le bulletin de sécurité s’adresse à tous ceux qui utilisent Flash Player 20.0.0.306 ou toute version antérieure sous Windows ou OS X (18.0..329 pour la branche Extended Support Release ; 11.2.202.569 sur Linux). Les installations d’Adobe AIR sont également concernées, sur desktop, mais aussi sur mobile (Android, iOS) avec le kit de développement associé.
Concernant les navigateurs, la mise à niveau se fera automatiquement sur Chrome, ainsi que sur Internet Explorer (Windows 8.x, Windows 10) et Edge (Windows 10) de Microsoft.
Le CERT-FR, rattaché à l’Agence nationale de la sécurité des systèmes d’informations, a publié une alerte en parallèle d’Adobe.
On notera que sur les 23 failles colmatées, 8 ont été découvertes par des membres de l’équipe Google Project Zero. Le compteur est à 3 chez HP Entreprise dans le cadre de sa Zero Day Initiative. Microsoft et Kaspersky Lab figurent aussi sur la liste, au même titre que les groupes chinois Alibaba et Tencent.
Crédit photo : kentoh – Shutterstock.com
Les attaques de phishing utilisant des QR codes frauduleux intégrés dans des documents PDF joints…
Microsoft a amorcé le déploiement de Windows 11 24H2. Passage en revue des nouvelles fonctionnalités…
L'intégration de Copilot dans la suite bureautique s'accélère. Où trouver l'assistant IA et comment l'utiliser…
Microsoft annonce une phase expérimentale pour lancer Recall sur les PC Copilot+. Elle doit commencer…
Comment réduire la taille des mises à jour de Windows 11 ? Microsoft annonce la…
Déjà doté de la sauvegarde automatique, d'un compteur de caractères et de Copilot, Bloc-notes embarque…