Adobe vient de livrer les derniers correctifs pour Flash de l’année 2015. Ce qui n’empêche pas l’éditeur de référencer ce bulletin (APSB16-01) comme le premier de l’année 2016. Trois semaines après la publication de la précédente vague de correctifs, la 32e de l’année, qui visait à combler 77 failles de sécurité, cette nouvelle prescription se contente d’alerter sur 19 vulnérabilités, dont certaines critiques. L’une d’entre elles étant même « activement exploitée » dans le cadre d’attaques ciblées, précise ITespresso.fr.
Il est vivement recommandé de télécharger, sur les systèmes Windows et Mac, la mise à jour 20.0.0.267 du plugin (18.0.0.324 pour la version bénéficiant du support étendu ; 11.2.202.259 sur Linux). Concernant les navigateurs, la mise à niveau se fera automatiquement sur Chrome, ainsi que sur Internet Explorer (Windows 8.x, Windows 10) et Edge (Windows 10) de Microsoft.
La faille « activement exploitée » (CVE-2015-8651) hérite d’un score de criticité élevé : 8,8 sur 10 dans la dernière version de l’échelle CVSS (« Common Vulnerability Scoring System »). Elle est liée à un problème de dépassement d’entier (« Integer Overflow »), c’est-à-dire la représentation, lors d’une opération mathématique, d’une valeur numérique supérieure à celle représentable dans l’espace de stockage disponible.
Autre vulnérabilité particulièrement dangereuse : la CVE-2015-8644, qui peut permettre d’exécuter du code à distance via une confusion de type. En d’autres termes, l’accès à un objet en mémoire au travers d’une référence de type invalide afin de réaliser des opérations normalement interdites par la machine virtuelle. Les 17 autres failles sont liées à des problèmes de corruption de mémoire, notamment l’adressage de zones qui viennent d’être libérées (« Use-After-Free »).
Les charges contre Flash se multiplient du fait de ces vulnérabilités qui composent autant d’opportunités de pénétration dans les systèmes informatiques. La tension est montée d’un cran avec le piratage de Hacking Team. Une partie des documents dérobés à cette firme italienne présentée comme un « mercenaire de l’ère digitale » contribuant à l’espionnage d’Etat par voie électronique a fait la lumière sur les failles exploitées par les agences gouvernementales dans les principaux logiciels du marché… dont Flash.
Après Apple, qui a supprimé Flash d’iOS, Facebook est l’un des chefs de file de la contestation. Son directeur de la sécurité a invité Adobe à fixer une date pour la fin de vie de son plugin, afin que la transition vers HTML5 s’accélère. Pour montrer l’exemple, le réseau social a banni Flash sur son lecteur de vidéos, privilégiant HTML5. La bascule a été progressive pour prendre en charge la compatibilité avec les plus anciens navigateurs.
Du côté d’Adobe, la page Flash semble se tourner progressivement. Témoin ce renommage lourd de symbole annoncé début décembre : le logiciel d’animation Flash Professional est devenu Animate CC, après quasiment 20 ans d’exploitation commerciale. Plus efficacement peut-être, Adobe a également pris la décision de fermer la page de téléchargement de l’installateur Flash. Néanmoins, de part son plugin aujourd’hui massivement déployée sur les postes utilisateurs et la technologie toujours exploitée par un grand nombre de sites, la disparition de Flash nécessitera probablement encore quelques années…
Lire également
Flash Player, cible préférée des kits de piratage
Google enterre les pubs Flash dans Chrome
Firefox fermera la porte aux plug-ins à la fin 2016
La Cour des comptes appelle à formaliser et à professionnaliser certains aspects du RIE, tout…
La Cour des comptes attire l'attention sur le risque d'affaiblissement d'Etalab, privé, ces dernières années,…
Missions historiques de la Dinum, l'ouverture des données publiques et la promotion des logiciels libres…
Pour développer une version 7B de son modèle Codestral, Mistral AI n'a pas utilisé de…
L’Autorité de la concurrence et des marchés (CMA) britannique ouvre une enquête sur les conditions…
Thomas Gourand est nommé Directeur Général pour la France. Il est chargé du développement de…