L'éditeur Adobe annonce qu'une vulnérabilité de sécurité critique existe dans les versions les plus à jour de Flash Player - 9.0.159.0 et 10.0.22.87 - pour Windows, Mac OS X et GNU/Linux. Cette même vulnérabilité est présente dans le composant authplay.dll fourni avec Adobe Reader et Acrobat 9.x, également pour l'ensemble des environnements supportés. Rappelons que Flash est disponible avec les documents PDF, et l'interpréteur Flash du lecteur PDF est donc vulnérable.

Selon Adobe, cette vulnérabilité peut causer un plantage et potentiellement permettre à un attaquant de prendre le contrôle d'un système vulnérable. Adobe a eu vent de rapports d'exploitation mais parle d'attaques limitées à l'encontre d'Adobe Reader 9 sous Windows.

Pour Symantec, le nombre d'attaques ne devrait toutefois pas tarder à se multiplier, sachant que Flash Player est présent sur l'immense majorité des ordinateurs à travers le monde. L'éditeur de solutions de sécurité évoque une vulnérabilité inédite et pointe pour l'heure du doigt un fichier PDF malveillant contenant le cheval de Troie Pidief.G.

Adobe escompte livrer une mise à jour salvatrice pour Flash Player 9 et 10 le 30 juillet 2009 ( pour l'ensemble des OS ), et pour Adobe Reader et Acrobat 9.1.2 pour Windows et Mac OS X le 31 juillet 2009 ( date non définie pour les systèmes Linux ).

Pour cette vulnérabilité, la société Purewire dont les propos ont été relayés par The Register se veut un tantinet plus alarmiste, précisant que des sites Web l'exploite actuellement via des vidéos Flash spécialement conçues. Après avoir soumis les fichiers SWF malveillants à l'analyse de VirusTotal, aucun des 40 fournisseurs d'antivirus répertoriés n'a été en mesure de les détecter. Sept de ces fournisseurs ont par contre détecté l'exploit PDF, et Symantec indique donc avoir identifié le cheval de Troie Pidief.G.


L'avis de sécurité d'Adobe