Sécurité IT : Adobe prodigue des soins hivernaux à Flash

Pas de répit pour Adobe dans la sécurisation de Flash.

Trois semaines après la publication du bulletin APSB15-32 et ses 77 failles corrigées, l’éditeur remet le couvert.

La feuille de soins est moins longue, mais le bulletin APSB16-01 diffusé ce 28 décembre colmate tout de même 19 failles, dont certaines critiques, l’une d’entre elles étant même « activement exploitée » dans le cadre d’attaques ciblées.

Il est vivement recommandé de télécharger, sur les systèmes Windows et Mac, la mise à jour 20.0.0.267 du plugin (18.0.0.324 pour la version bénéficiant du support étendu ; 11.2.202.259 sur Linux). Concernant les navigateurs, la mise à niveau se fera automatiquement sur Chrome, ainsi que sur Internet Explorer (Windows 8.x, Windows 10) et Edge (Windows 10) de Microsoft.

La faille « activement exploitée » (CVE-2015-8651) hérite d’un score de criticité élevé : 8,8 sur 10 dans la dernière version de l’échelle CVSS ( « Common Vulnerability Scoring System »).

Elle est liée à un problème de dépassement d’entier (« Integer Overflow »), c’est-à-dire la représentation, lors d’une opération mathématique, d’une valeur numérique supérieure à celle représentable dans l’espace de stockage disponible.

Autre vulnérabilité particulièrement dangereuse : la CVE-2015-8644, qui peut permettre d’exécuter du code à distance via une confusion de type. En d’autres termes, l’accès à un objet en mémoire au travers d’une référence de type invalide afin de réaliser des opérations normalement interdites par la machine virtuelle.

Les 17 autres failles sont liées à des problèmes de corruption de mémoire, notamment l’adressage de zones qui viennent d’être libérées (« Use-After-Free »).

Les charges contre Flash se multiplient avec toutes ces vulnérabilités.

La tension est montée d’un cran depuis le piratage de Hacking Team. Une partie des documents dérobés à cette firme italienne présentée comme un « mercenaire de l’ère digitale » contribuant à l’espionnage d’Etat par voie électronique a fait la lumière sur les failles exploitées par les agences gouvernementales dans les principaux logiciels du marché… dont Flash.

Facebook est l’un des chefs de file de la contestation. Son directeur de la sécurité a invité Adobe à fixer une date pour la fin de vie de son plugin, afin que la transition vers HTML5 s’accélère.

Pour montrer l’exemple, le réseau social a banni Flash sur son lecteur de vidéos, privilégiant HTML5. La bascule a été progressive pour prendre en charge la compatibilité avec les plus anciens navigateurs.

Du côté d’Adobe, la page Flash semble se tourner progressivement. Témoin ce renommage lourd de symbole annoncé début décembre : le logiciel d’animation Flash Professional est devenu Animate CC, après quasiment 20 ans d’exploitation commerciale.

Crédit photo : Pavel Ignatov – Shutterstock.com