La semaine dernière, Adobe a confirmé l’existence d’une faille importante de sécurité sur son lecteur Flash qui pouvait être utilisée pour mener des attaques « limitées et ciblées » sur les plateformes Windows, OS X et Linux, mais aussi depuis les versions plug-in du lecteur pour les navigateurs Google Chrome, Microsoft Edge (Windows 10) et Internet Explorer (Windows 8 et 8.1). L’entreprise avait alors recommandé de désinstaller le logiciel par mesure de précaution étant donné qu’un pirate exploitant cette faille était en mesure de faire planter l’ordinateur cible ou même d’en prendre totalement le contrôle. Adobe avait confié être en train de travailler sur une mise à jour pour colmater cette faille qui serait disponible au courant de cette semaine.C’est désormais chose faite. Adobe a publié un correctif d’urgence beaucoup plus vite que prévu pour colmater la brèche découverte par les chercheurs de la société Trend Micro qui ont découvert qu’elle était activement utilisée dans une campagne de piratage baptisée Operation Pawn Storm, une opération d’espionnage économique et politique à grande échelle par un groupe de pirates russes, qui vise un large éventail de personnalités, dont les gouvernements, les militaires, les médias, l’industrie de la défense, etc.
Au passage, Adobe en a profité pour colmater deux autres failles, identifiées comme étant CVE-2015-7647 et CVE-2015-7648 où il est indiqué que les versions d’Adobe Flash Player antérieures à la version 18.0.0.255 ainsi que celles de la branche 19.x antérieures à 19.0.0.226 sur les plateformes Windows et OS X et les versions antérieures à 11.2.202.540 sur Linux permettent aux pirates d’exécuter du code arbitraire en se servant d’une « confusion de type » non spécifiée. Même si les deux vulnérabilités présentent la même description, Adobe précise néanmoins qu’elles sont différentes l’une de l’autre.
Pour rappel, d’ordinaire, lorsqu’une portion de code ne vérifie pas le type d’objet qui lui est passé et l’utilise à l’aveuglette, cela peut conduire à une confusion de type. Ce genre de situation peut s’avérer dangereuse dans la mesure où un type est exprimé comme une disposition dans l’implémentation bas niveau de Flash. De plus, avec les confusions de type, les mauvais pointeurs sur les fonctions ou les mauvaises données sont assignés à la mauvaise portion du code. Ce qui peut dans certains cas conduire à une exécution du code.
L’entreprise a vivement recommandé aux utilisateurs d’effectuer la mise à jour aussi vite que possible.
Source : Adobe, CVE-2015-7647, CVE-2015-7648
Voir Aussi :
XAgent : un malware qui dérobe les données personnelles sous iOS, découvert par les experts de Trend Micro 
Envoyé par Algo D.DN
