MàJ : Adobe a corrigé la vulnérabilité. Flash Player 16.0.0.305 est proposé par le biais de la mise à jour automatique ou à télécharger manuellement. Adobe travaille avec Google et Microsoft pour l'intégration de la mise à jour dans Google Chrome et Internet Explorer 10 / 11.

-----

Actualité publiée le 3 février 2015

Pour la troisième fois en l'espace de seulement quelques jours, Adobe est confronté à une nouvelle vulnérabilité de sécurité affectant Flash Player. Actuellement sans correctif et donc de type 0-day, elle fait l'objet d'une exploitation dans des attaques.

Dans un avis de sécurité, Adobe évoque une vulnérabilité critique affectant Flash Player 16.0.0.296 et les versions précédentes pour Windows et OS X (mais pas la branche 11.x pour Linux). Elle est exploitée dans des attaques de type drive-by-download (infection lors de la simple visite d'une page Web) ciblant des systèmes exécutant Internet Explorer et Firefox sur Windows 8.1 et versions antérieures.

bug En particulier, la société de sécurité Trend Micro a découvert un exploit utilisé dans des attaques de malvertising où des publicités en ligne se chargeant lors d'une visite d'un internaute sont utilisées afin de diffuser des malwares. Cela a par exemple été le cas sur le site dailymotion.com (un exemple parmi d'autres) où les internautes ont été redirigés vers une URL hxxp://www.retilio.com/skillt.swf hébergeant l'exploit lui-même.

C'est ici la plateforme de publicité qui est le vecteur de l'infection et non Dailymotion ou les autres sites. Trend Micro a détecté près de 3 300 redirections malveillantes en relation avec cet exploit et des attaques sont toujours en cours.

Selon Adobe, une exploitation peut provoquer un plantage et " potentiellement " permettre à un attaquant de prendre le contrôle d'un système vulnérable. Un correctif doit arriver dans le courant de la semaine.

Cette série de 0-day en si peu de temps est évidemment une mauvaise publicité pour Flash Player et ce alors qu'il creuse un peu plus sa tombe depuis le choix par défaut de YouTube en faveur de HTML5.

Dans l'attente du correctif, il est recommandé de désactiver Flash Player dans le navigateur. Avec Firefox, cela se fait simplement depuis le panneau consacré à la gestion des modules complémentaires et ici des plugins. Pour Internet Explorer, la procédure n'est guère plus complexe via la gestion des modules complémentaires depuis les outils. À noter que pour Google Chrome, une désactivation est également possible en saisissant chrome://plugins dans la barre d'adresse.