Il y a de cela une dizaine de jours, Kafeine, un chercheur indépendant dans le domaine de la cyber-sécurité, donnait l’alerte : un kit d’exploitation (Angler EK) permettait d’abuser d’une faille « zero-day » décelée dans Flash Player. Peu de temps après, le 23 janvier dernier, Abode publiait un correctif de sécurité censé rétablir la situation.
Nos confrères de ZDNet.fr précisent que cette vulnérabilité permettait de passer outre « les mesures d’atténuation de la distribution aléatoire de l’espace d’adressage sur Windows ». Ajoutons d’ailleurs que seules les dernières versions parues de Flash (16.0.0.235, 16.0.0.257 et 16.0.0.287) étaient concernées.
Deuxième faille critique pour Flash Player en deux semaines
Mais mardi dernier, Trend Micro a annoncé avoir découvert une nouvelle faille critique dans la dernière itération de Flash Player (16.0.0.296). Et l’exploitation que l’on peut en faire est plus aisée à comprendre puisqu’elle permet tout simplement, in fine, de prendre le contrôle d’une machine à distance lorsqu’un site piégé a été visité via celle-ci.
Dailymotion touché : Adobe promet un patch
Trend Micro ajoute que « de nombreuses bannières publicitaires » présentes sur le site Dailymotion renferment des redirections vers des sites piégés. Et ils seraient déjà 3 200 internautes à avoir été infectés. Si l’un des géants de la sécurité internet recommande la désactivation de Flash pour éviter tout fâcheux désagrément (Google s’en est déjà séparé sur YouTube au profit de HTML 5), Adobe prévoit de délivrer un nouveau patch correctif d’ici la fin de la semaine.
