Adobe Flash Player : patches pour 6 failles XSS

Mercredi 21 septembre 2011, Adobe a délivré des patches pour combler les failles de sécurité découvertes dans Flash Player.

Elles concernent les versions 10.3.183.7 et plus récentes encore pour Windows, Macintosh, Linux et Solaris, mais aussi Adobe Flash Player depuis la version 10.3.186.6 pour Android.

Une des failles a toutefois déjà été exploitée de façon malveillante par des hackers.

On pense dès lors à une autre faille de Flash utilisée début juin 2011 pour pirater des comptes Gmail.

Il s’agit de failles de sécurité de type XSS (cross site scripting) qui permettent d’introduire et d’exécuter du code malveillant en Javascript par exemple par le navigateur web qui consulte la page.

Des redirections à l’insu de l’utilisateur peuvent dès lors être effectuées mais aussi le vol d’informations (via les cookies par exemple) ou rendre le système instable avec une boucle infinie dans le script chargé.

Pour ce qui est de la faille CVE-2011-2444, l’une des six failles ‘zero day’, Adobe prodigue les mêmes conseils que pour celle de juin.

Ainsi selon Adobe, « il y a des rapports qui indiquent que cette faille est déjà exploitée dans la nature lors d’attaques ciblées ayant pour dessein de piéger l’utilisateur et de le faire cliquer sur un lien ‘malicieux’ attaché à un e-mail. »

Concernant les autres failles, elles peuvent être utilisées par des hackers pour lancer un script malveillant sur l’ordinateur ciblé.

Il convient donc de télécharger les versions patchées de Flash Player depuis le site officiel d’Adobe.

Et concernant les utilisateurs d’Android, leur salut passe par une mise à jour de Flash Player depuis l’Android Market.

De son côté Google a déjà mis à jour son navigateur Chrome (le 20 septembre) de sorte qu’il intègre la version patchée de Flash Player.