Sécurité IT : Adobe Flash pour Firefox se réfugie dans un bac à sable

Le plug-in Adobe Flash est une des vulnérabilité IT les plus utilisées par les cyber-criminels pour attaquer les internautes.

Le logiciel est présent sur pratiquement tous les ordinateurs, mais sa complexité rend la correction des failles difficiles.

Pour contourner le problème, Adobe met en place un « bac à sable », ou « sandbox ».

Déjà présent sur le plug-in Chrome depuis 2010, il est maintenant expérimenté en bêta dans le plug-in Flash pour Firefox. Il sera généralisé un peu plus tard dans l’année.

En théorie, il s’agit d’isoler les processus de Flash du reste du système de la machine. Ainsi, si une faille de Flash est découverte, normalement le hacker ne peut plus l’utiliser pour s’emparer du système.

En pratique, comme l’explique TechWeek Europe UK citant l’ingénieur d’Adobe Peleus Uhley, le plug-in va être doté d’un « médiateur ».

C’est un processus ayant « des droits limités et à l’accès extrêmement restreint » qui décide quelles actions et codes le lecteur Flash peut exécuter en dehors du bac à sable.

Tout le reste est confiné à la sandbox, donc le navigateur et le système sont protégés de codes malveillants tentant d’augmenter leur privilège, ou d’exécuter des commandes arbitraires.

Adobe avait introduit les bac à sables dans deux de ses produits en 2010. Il s’agissait du plug-in Flash pour Chrome, et du lecteur de fichiers PDF Adobe Acrobat Reader (nommé « Protected Mode »).

C’est une belle réussite, aucune des failles découvertes depuis dans ces logiciels n’ayant réussi à surpasser la sandbox.

Il ne manquera plus qu’une protection similaire dans le plug-in Flash pour Internet Explorer…

Logo : © Vladislav Kochelaevs – Fotolia.com