Comme prévu, Adobe livre une mise à jour de Flash Player. Elle corrige des bugs pour les développeurs tels que des attributs XML qui recevaient de manière aléatoire des caractères null. Ce sont toutefois les corrections de sécurité qui doivent le plus attirer l'attention.
La mise à jour corrige en effet une vulnérabilité critique qui fait l'objet d'une exploitation dans des attaques. Référencée CVE-2016-4171, cette vulnérabilité d'exécution de code arbitraire à distance est exploitée dans le cadre de campagnes ciblées menées par un groupe baptisé ScarCruft.
Selon Kaspersky Lab, les victimes se trouvent essentiellement en Russie, au Népal, en Corée du sud, Chine, Inde, au Koweït et en Roumanie. On peut légitimement penser à du cyberespionnage et se rassurer en se disant que généralement, ce genre d'exploits 0-day (exploitation d'une vulnérabilité sans patch disponible) ne sont pas utilisés à grande échelle. Il ne faut pas les gâcher et donc user de discrétion.
Cela étant, il s'agit du troisième mois consécutif pour lequel un exploit 0-day dans Flash est signalé. Qui plus est, Flash demeure un vecteur d'attaque très prisé et la mise à jour comble un total de 36 vulnérabilités de sécurité. Cela fait beaucoup pour un petit plugin qu'il vaut donc mieux désactiver - voire désinstaller - s'il n'est pas nécessaire.
Sachant que sous l'impulsion de HTML5 la désactivation par défaut va devenir la norme dans les navigateurs, la procédure peut d'ores et déjà se faire simplement dans les paramètres des navigateurs. C'est le cas avec Firefox dans les paramètres des plugins et Microsoft Edge dans les paramètres avancés. Tout comme Microsoft Edge, Google Chrome intègre par défaut un plugin Flash Player mais sa désactivation y est un peu plus complexe en nécessitant de passer par chrome://plugins.
Pour connaître sa version de Flash Player installée, il est possible de se rendre sur cette page afin d'effectuer une mise à jour le cas échéant. Avec Google Chrome, Internet Explorer sur Windows 8.1 et Microsoft Edge (Windows 10), cette mise à jour est comprise dans celle du navigateur qui est actuellement diffusée.
Ci-dessous, les versions de Flash Player les plus à jour pour chaque plate-forme :
À noter que l'environnement d'exécution AIR a également droit à une mise à jour.
