Adobe, le loup blanc des failles 0-day ?

Adobe impute à une corruption de la mémoire U3D la faille 0-day identifiée dans ses produits Reader et Acrobat. Sont concernées l’ensemble des déclinaisons de la version 9 et les moutures antérieures.

La résultante d’une telle vulnérabilité octroierait aux assaillants potentiels un contrôle à distance des machines ainsi investies.

Plus que leurs homologues Mac et Unix, les clients Windows semblent manifester une forte tendance à la contamination.

Sans plus de précision, l’éditeur confirme avoir eu affaire à quelques rares « toutefois restés rares », à en croire le bulletin de sécurité publié à cette occasion.

De cette découverte découle un ensemble de correctifs bientôt disponible sous la forme d’une mise à jour ponctuelle, à appliquer aux produits affectés.

A noter que les versions récentes du logiciel bénéficient d’un mode protégé (« sandbox ») qui condamnent l’exécution de tels artifices. Pas un mot, en revanche, concernant les systèmes d’exploitation mobiles.

Incriminée, la technologie Universal 3D, composante dédiée à la modélisation en 3 dimensions de certains objets intégrés dans des documents PDF, entraînerait de fréquents dépassements de capacité mémoire, débouchant sur une faille de type 0-day.

A raison de multiples patches et mises à jour inopinées d’outils tels que Flash Player, Adobe s’est forgé une réputation de loup blanc dans le domaine.

Son dernier fait en date remonte à septembre dernier, à la suite d’un raid de hackers qui auraient exploité 6 failles XSS (cross-site scripting) pour injecter du code malveillant par l’intermédiaire de navigateurs Web.

Microsoft, qui dressait en octobre dernier son bilan pour 2011, tentait d’apaiser les foules, évoquant « moins de 1% de toutes les attaques [émanant de] vulnérabilités dépourvues de correctifs« .

Quelques semaines plus tôt, des ingénieurs de Google revendiquaient pourtant leur concours dans la résorption de 400 failles dans le plug-in Flash, quand Adobe n’en recensait que 13.