Flash : Adobe colmate une faille critique déjà exploitée

Kaspersky a publié les détails d’une nouvelle faille critique de Flash. Alors que la technologie n’en finit plus d’être critiquée, la brèche se révèle dangereuse car est déjà activement exploitée. Le correctif est disponible depuis peu et devrait être installé aussi rapidement que possible.

Flash est victime d’une nouvelle vulnérabilité critique. Elle est déjà exploitée par des pirates, ce qui représente un danger réel pour les utilisateurs. Sur un site, un contenu Flash malveillant, spécialement conçu pour exploiter la faille, peut déclencher un plantage du lecteur. De là, les pirates pourraient obtenir une escalade des privilèges et donc faire déclencher un code arbitraire pour contaminer l’ordinateur. Elle est estampillée CVE-2016-4171 et est présente dans les versions Windows, OS X, Linux et Chrome OS du lecteur.

Un correctif à appliquer rapidement

Selon Kaspersky qui en dévoile certains détails, la faille est déjà exploitée. Elle fait suite à deux autres brèches qui avaient été utilisées par un groupe de pirate nommé StarCruft, qui s’est fait une spécialité des APT (menace persistante avancée). L’éditeur lui connaît deux opérations en cours : Daybreak, lancée en mars 2016 et utilisant la fameuse faille dont il est ici question, et Erebus, qui utilise une autre faille, colmatée depuis. 

Adobe propose le correctif depuis cette nuit. Il est recommandé de l’installer sans attendre. Dans le cas d’un navigateur comme Chrome, Internet Explorer ou Edge – qui intègrent une version isolée du plugin – le correctif est également disponible. Il suffit d’aller vérifier les systèmes de mise à jour associés.

Trois failles critiques exploitées en trois mois

Comme l’indique Kaspersky, il s’agit de la troisième faille critique en trois mois exploitée activement avant de recevoir un correctif. Ces problèmes de sécurité n’amélioreront pas la réputation désastreuse de Flash, dont tout le monde ou presque cherche à se débarrasser désormais. Dernier acteur en date, Apple qui a annoncé que Safari 10 désactiverait par défaut le plugin, avec possibilité de le réactiver manuellement si besoin. Une approche retenue par Firefox depuis quelque temps.

Notez enfin que les utilisateurs de l’outil EMET (Enhanced Mitigation Experience Toolkit) de Microsoft étaient protégés contre l’exploitation de cette faille.