Une vulnérabilité Flash critique en cours d’exploitation !

Adobe a promis un patch pour aujourd’hui concernant une vulnérabilité Flash critique, CVE-2016-4171, qui est déjà exploitée en ce moment. Tous les Flash Player au sein de vos navigateurs, et sur tous les systèmes d’exploitation (Windows, Macintosh, Linux et Chrome OS) sont concernés.

Lorsqu’il sera disponible, le patch sera la quatrième de ce type au cours des 4 derniers mois pour combattre des vulnérabilités zero-day au sein de Flash, apparues en Mars, Avril et Mai 2016.

La mise à jour d’Adobe APSA16-03 décrit la situation comme suit :

Une vulnérabilité critique (CVE-2016-4171) existe au sein d’Adobe Flash Player 21.0.0.242 et ses versions antérieures pour Windows, Macintosh, Linux et Chrome OS. Son exploitation réussie peut causer le crash du player ou encore permettre la prise de contrôle du système en question par un hacker.

Adobe est au courant de l’existence qu’un exploit s’appuyant sur CVE-2016-4171 existe dan sla nature, et est utilisée à l’heure actuelle pour des attaques limitées et ciblées. Adobe va traiter cette vulnérabilité au cours de sa mise à jour sécurité mensuelle, et qui est sortie le 16 juin dernier.

Cette annonce confirme encore un peu plus la réputation, non officielle mais vérifiée en pratique, d’Adobe comme étant le lieu de prédilection des cybercriminels en recherche de vulnérabilités au sien des navigateurs.

Malheureusement, les 4 mises à jour en 4 mois n’est pas le pire que l’on ait connu.

En effet, en Janvier 2015 Adobe avait traité 9 vulnérabilités Flash dans sa mise à jour patch Tuesday du 14 Janvier, et avait sorti 3 mises à jour d’urgence le 23 janvier, 24 Janvier et 3 Février.

Les performances passes en sont peut-être pas un bon indicateur pour celles à venir, cependant quiconque utilisant encore Flash doit se poser la question suivante : quelle situation réellement critique dois-je rencontrer pour retirer enfin Flash de mon ordinateur ?

Bien sûr, il existe encore des choses plutôt utiles qui se basent sur Flash, mais les événements actuels ont vite fait de les rattraper.

Les utilisateurs d’iOS vivent sans Flash depuis le début. Le navigateur Google Chrome pousse Flash sans ménagement vers la sortie, et Apple est en train d’en faire autant dans sa prochaine version de MacOS.

Pour retirer Flash, suivez le guide Adobe désinstallation de Flash pour Windows et Mac OS X.

Follow @SophosFrance
//
Partagez Une vulnérabilité Flash critique en cours d’exploitation ! avec : http://wp.me/p2YJS1-2KE
Billet inspiré de Critical Flash vulnerability is being exploited in the wild par Mark Stockley, Sophos nakedsecurity.