Pour la troisième fois en deux semaines, Adobe a publié une mise à jour de sécurité d’urgence pour son Lecteur Flash logiciel pour corriger une dangereuse vulnérabilité zero-day que les pirates exploitent déjà pour lancer des attaques de téléchargement intempestif.
La dernière mise à jour, version16.0.0.305corrige un bogue de sécurité critique (CVE-2015-0313) présent dans la version de Flash publiée par Adobe le 27 janvier (v.16.0.0.296). Adobe a déclaré être au courant des rapports selon lesquels cette vulnérabilité est activement exploitée dans la nature via attaques drive-by-download contre les systèmes en cours d’exécution Internet Explorer et Firefox au Windows 8.1 et plus bas.
d’Adobe consultatif crédits à la fois Trend Micro et Microsoft avec le signalement de ce bug. Trend Micro a publié un article de blog il y a trois jours avertissant que la faille était utilisée dans attaques de malvertising – des publicités piégées téléchargées par des criminels sur des réseaux publicitaires en ligne. Tendance également publiée un article plus approfondi examinant l’utilisation de cette faille dans le Hanjuan Exploit Kit, un package de logiciels criminels conçu pour être intégré à des sites Web piratés et imposer des logiciels malveillants aux visiteurs via des failles de plug-in de navigateur comme celle-ci.
Pour voir quelle version de Flash vous avez installée, vérifiez ce lien. Les utilisateurs de Windows qui naviguent sur le Web avec autre chose qu’Internet Explorer peuvent avoir besoin d’appliquer ce correctif deux fois, une fois avec IE et une autre fois en utilisant le navigateur alternatif (Firefox, Opera, par exemple).
Les versions les plus récentes de Flash doivent être disponibles sur le Flash page d’accueil, mais méfiez-vous des modules complémentaires potentiellement indésirables, tels que McAfee Security Scan. Pour éviter cela, décochez la case pré-cochée avant le téléchargement, ou récupérez votre téléchargement Flash spécifique au système d’exploitation à partir de ici.
IE10/IE11 sur Windows 8.x et Chrome doivent mettre à jour automatiquement leurs versions de Flash. Google Chrome version 40.0.2214.111 inclut cette mise à jour et est disponible dès maintenant. Pour vérifier les mises à jour dans Chrome, cliquez sur les trois barres empilées à droite de la barre d’adresse dans Chrome et recherchez une liste vers le bas qui indique « Mettre à jour Chrome ».
Comme je l’ai noté dans un précédent article Flash, à moins de supprimer complètement Flash – ce qui peut être peu pratique pour certains utilisateurs – il existe des solutions intermédiaires. Applications bloquant les scripts comme Noscript et ScriptSafe sont utiles pour bloquer le contenu Flash, mais les bloqueurs de scripts peuvent être difficiles à gérer pour de nombreux utilisateurs.
Mon approche intermédiaire préférée est le click-to-play, qui est une fonctionnalité disponible pour la plupart des navigateurs (sauf IE, malheureusement) qui bloque le chargement du contenu Flash par défaut, remplaçant le contenu des sites Web par une case vide. Avec click-to-play, les utilisateurs qui souhaitent voir le contenu bloqué n’ont qu’à cliquer sur les cases pour activer le contenu Flash à l’intérieur (click-to-play bloque également le chargement des applets Java par défaut).
Les utilisateurs de Windows doivent également profiter pleinement de la Boîte à outils d’expérience d’atténuation améliorée(EMET), un outil gratuit de Microsoft qui peut aider les utilisateurs de Windows à renforcer la sécurité des applications tierces.