Adobe a publié des mises à jour de sécurité pour corriger les faiblesses de son Lecteur PDF et Fusion froide produits, tout en pointant vers une mise à jour qui sera publiée plus tard cette semaine pour son omniprésent Lecteur Flash plug-in de navigateur. Entre-temps, Microsoft a publié aujourd’hui 16 ensembles de mises à jour pour corriger des dizaines de failles de sécurité dans les fenêtres, Internet Explorer et les logiciels associés.
Microsoft lot de correctifs inclut des mises à jour pour les vulnérabilités « zero-day »
érabilités (défauts que les attaquants trouvent comment exploiter avant que le fabricant du logiciel ne le fasse) dans Internet Explorer (IE) et dans Windows. La moitié des 16 correctifs que Redmond a publiés aujourd’hui ont obtenu sa note « critique », ce qui signifie que les vulnérabilités pourraient être exploitées à distance sans l’aide de l’utilisateur, sauf peut-être en cliquant sur un lien, en ouvrant un fichier ou en visitant un site Web piraté ou malveillant.
Selon la société de sécurité Chavlikdeux des correctifs de Microsoft résolvent des problèmes révélés publiquement avant les mises à jour d’aujourd’hui, notamment des bogues dans IE et le Cadre Microsoft .NET.
Chaque fois qu’une mise à jour de .NET Framework est disponible, je décoche toujours ces mises à jour à installer, puis je redémarre et j’installe les mises à jour de .NET. J’ai eu trop d’échecs de mise à jour .NET qui compliquent le processus de détermination de la mise à jour qui a bloqué une machine Windows après un lot de correctifs pour faire autrement, mais votre kilométrage peut varier.
Du côté d’Adobe, les correctifs de mise à jour Flash en attente une seule vulnérabilité qui est apparemment déjà exploité dans des attaques actives en ligne. Cependant, Shavlik dit qu’il semble y avoir une certaine confusion quant au nombre de bogues corrigés dans la mise à jour Flash.
« Si des informations recueillies auprès de [Microsoft’s account of the Flash Player update] MS16-064 est exact, ce Zero Day sera accompagné de 23 CVE supplémentaires, avec une sortie prévue le 12 mai », a écrit Shavlik. « Dans cet esprit, la recommandation est de déployer cette mise à jour immédiatement. »
Adobe affirme que la vulnérabilité est incluse dans Adobe Flash Player 21.0.0.226 et des versions antérieures pour Windows, Macintosh, Linux et Chrome OS, et que la faille sera corrigée dans une version de Flash qui sortira le 12 mai.
En ce qui concerne Flash, l’option la plus intelligente est probablement la meilleure pour entraver ou abandonner le programme une fois pour toutes – et augmenter considérablement la sécurité de votre système dans le processus. J’en ai plus sur cette approche (ainsi que des solutions légèrement moins radicales) dans Un mois sans Adobe Flash Player.
Si vous utilisez Adobe Reader pour afficher des documents PDF, vous devrez mettre à jour ça aussi. Vous pouvez également envisager de passer à un autre lecteur qui est peut-être moins ciblé. Adobe Reader est livré avec un certain nombre de produits logiciels tiers, mais de nombreux utilisateurs de Windows ne réalisent peut-être pas qu’il existe des alternatives, y compris de bons logiciels gratuits. Pendant un certain temps, j’ai utilisé Lecteur Foxit, mais ce programme semble être devenu plus gonflé à chaque version. Ma préférence actuelle est SumatraPDF; il est léger (environ 40 fois plus petit qu’Adobe Reader) et assez rapide.
Enfin, si vous exploitez un site Web qui s’appuie de quelque manière que ce soit sur la technologie Cold Fusion d’Adobe, veuillez mettre à jour votre logiciel rapidement. Les vulnérabilités de Cold Fusion ont traditionnellement été ciblées par les cyber-voleurs pour compromettre d’innombrables boutiques en ligne.