IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

Flash Discussion :

Trend Micro découvre une nouvelle vulnérabilité 0-day affectant la dernière version de Flash


Sujet :

Flash

  1. #1
    Chroniqueur Actualités
    Avatar de Michael Guilloux
    Homme Profil pro
    Data Consultant
    Inscrit en
    Juillet 2013
    Messages
    2 943
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 33
    Localisation : Côte d'Ivoire

    Informations professionnelles :
    Activité : Data Consultant
    Secteur : High Tech - Éditeur de logiciels

    Informations forums :
    Inscription : Juillet 2013
    Messages : 2 943
    Points : 88 281
    Points
    88 281
    Billets dans le blog
    2
    Par défaut Trend Micro découvre une nouvelle vulnérabilité 0-day affectant la dernière version de Flash
    Trend Micro découvre une nouvelle vulnérabilité 0-day affectant la dernière version de Flash
    La faille est activement exploitée par les pirates


    Trend Micro a découvert une nouvelle faille de sécurité qui affecte le plugin Flash Player d'Adobe. Cette vulnérabilité a été activement exploitée par les pirates depuis le 17 janvier pour infecter les PC via des annonces publicitaires compromises. Selon Peter Pi, analyste des menaces chez Trend, cette menace n'épargne en aucun cas la dernière version de Flash.

    « Nos chercheurs ont découvert un nouvel exploit zero-day dans Adobe Flash utilisé dans des attaques via des annonces malveillantes. L'exploit affecte la version la plus récente d'Adobe Flash, et est maintenant identifié par la référence CVE-2015-0313.» A-t-il écrit sur le blog de l'entreprise.

    Parmi les versions affectées par cette vulnérabilité, on compte Adobe Flash Player 16.0.0.296 et les versions antérieures pour Windows et Macintosh, Flash 13.0.0.264 et les versions 13.x antérieures, ainsi qu'Adobe Flash Player 11.2.202.440 et les versions antérieures pour Linux.

    Toutes ces versions auront donc besoin de mise à jour alors que la vulnérabilité a été catégorisée critique par Adobe.

    L'entreprise de sécurité note que plusieurs sites populaires pourraient rediriger les visiteurs vers un site compromis qui héberge l'exploit. « Selon nos données, les visiteurs du site populaire dailymotion.com ont été redirigés vers une série de sites qui a finalement conduit à l'URL hxxp: //www.retilio.com/skillt.swf, où l'exploit a été hébergé. Il est important de noter que l'infection se produit automatiquement, puisque les annonces sont conçues pour se charger une fois qu'un utilisateur visite un site. Il est probable que ce n'était pas limité au site Dailymotion seul, puisque l'infection a été déclenchée à partir de la plateforme de publicité et non du contenu du site lui-même. »

    Peter Pi fait savoir que plus de 3000 résultats liés à l'exploit ont été observés et que d'autres attaques auraient pu tirer parti de cette vulnérabilité. Après avoir suspecté le kit d'exploits Angler, Trend Micro a annoncé que le kit d'exploits utilisé dans cette attaque est celui connu sous le nom de Hanjuan.

    Adobe a confirmé la menace en mettant en garde les utilisateurs sur le fait que la vulnérabilité est activement exploitée via des attaques par téléchargements cachés contre les systèmes exécutant Internet Explorer et Firefox sous Windows 8.1 et les versions antérieures. L'entreprise a par ailleurs annoncé qu'un patch devrait être disponible cette semaine pour corriger le problème. Mais pour l'heure, la solution idéale serait de désactiver le plugin Flash Player.

    Ce sera maintenant le 3è patch de sécurité pour Flash en seulement 2 semaines. Beaucoup d'utilisateurs pensent que le plugin vieillissant ne répond plus au contexte de sécurité actuel, et YouTube a même fini par le laisser tomber pour la vidéo HTML5. Cette nouvelle faille va-t-elle augmenter le doute sur le plugin d'Adobe?


    Sources: Trend Micro, Adobe Security Bulletin

    Et vous?

    Les jours de Flash sont-ils comptés?

  2. #2
    Membre extrêmement actif Avatar de eldran64
    Homme Profil pro
    Ingénieur développement logiciels
    Inscrit en
    Janvier 2008
    Messages
    341
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 38
    Localisation : France, Ille et Vilaine (Bretagne)

    Informations professionnelles :
    Activité : Ingénieur développement logiciels
    Secteur : High Tech - Éditeur de logiciels

    Informations forums :
    Inscription : Janvier 2008
    Messages : 341
    Points : 1 515
    Points
    1 515
    Par défaut chiant
    On dirait que c'est devenu une mode les exploits de failles du célèbre lecteur...

    Me reste plus qu'à formater ma bécane et à désactiver flash une fois pour toute...

  3. #3
    Rédacteur
    Avatar de pcaboche
    Homme Profil pro
    Inscrit en
    Octobre 2005
    Messages
    2 785
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 44
    Localisation : Singapour

    Informations forums :
    Inscription : Octobre 2005
    Messages : 2 785
    Points : 9 716
    Points
    9 716
    Par défaut
    Utilisation principale de Flash de nos jours :
    1. ouvrir des pubs (souvent des pubs vidéo super intrusives, et qui bouffent de la bande passante pour rien)
    2. propager des malwares

    C'est malheureux à dire, mais si Flash venait à disparaître, ça ne serait pas une grosse perte...

  4. #4
    Expert confirmé Avatar de AoCannaille
    Inscrit en
    Juin 2009
    Messages
    1 421
    Détails du profil
    Informations forums :
    Inscription : Juin 2009
    Messages : 1 421
    Points : 4 770
    Points
    4 770
    Par défaut
    Citation Envoyé par Michael Guilloux Voir le message
    nouvelle vulnérabilité 0-day affectant la dernière version de Flash
    [/B]
    Je croyais qu'une faille zero-day était une faille découverte avant la fin de la maintenance mais non utilisé tant que l'application était maintenu pour pouvoir l'utiliser justement dès qu'elle ne sera plus jamais corrigé.
    à ce titre cette défaillance affectant la dernière version de Flash (supportée donc) va être corrigée.

    En quoi est-ce une faille zéro-day?

  5. #5
    Membre habitué
    Homme Profil pro
    Étudiant
    Inscrit en
    Janvier 2014
    Messages
    70
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France

    Informations professionnelles :
    Activité : Étudiant

    Informations forums :
    Inscription : Janvier 2014
    Messages : 70
    Points : 180
    Points
    180
    Par défaut
    Une faille zéro-day étant une faille dont personne ne connaissait l'existence, cette faille est effectivement une faille zéro-day.

  6. #6
    Expert éminent sénior

    Femme Profil pro
    Ingénieur développement logiciels
    Inscrit en
    Juin 2007
    Messages
    5 196
    Détails du profil
    Informations personnelles :
    Sexe : Femme
    Localisation : France, Essonne (Île de France)

    Informations professionnelles :
    Activité : Ingénieur développement logiciels

    Informations forums :
    Inscription : Juin 2007
    Messages : 5 196
    Points : 17 165
    Points
    17 165
    Par défaut
    "0 day", c'est comme "cloud", "agile". Un mot qu'il faut caser, mais qui ne signifie pratiquement plus rien

  7. #7
    Expert confirmé Avatar de AoCannaille
    Inscrit en
    Juin 2009
    Messages
    1 421
    Détails du profil
    Informations forums :
    Inscription : Juin 2009
    Messages : 1 421
    Points : 4 770
    Points
    4 770
    Par défaut
    Citation Envoyé par Mc geek Voir le message
    Une faille zéro-day étant une faille dont personne ne connaissait l'existence, cette faille est effectivement une faille zéro-day.
    Citation Envoyé par leternel Voir le message
    "0 day", c'est comme "cloud", "agile". Un mot qu'il faut caser, mais qui ne signifie pratiquement plus rien
    Que des articules grand public "distillent" le sens d'une notion précise pourquoi pas, même si la vulgarisation n'impose pas l'imprécision, mais qu'un article par et pour des informaticiens le fasse, ça me gène plus quand même

  8. #8
    Inactif  
    Profil pro
    undef
    Inscrit en
    Février 2013
    Messages
    1 001
    Détails du profil
    Informations personnelles :
    Localisation : France, Lot (Midi Pyrénées)

    Informations professionnelles :
    Activité : undef

    Informations forums :
    Inscription : Février 2013
    Messages : 1 001
    Points : 3 671
    Points
    3 671
    Par défaut
    Il suffit de paramétrer le plugin flash pour qu'il demande l'autorisation avant de s'exécuter dans des pages du navigateur. Et de choisir ensuite, au cas par cas quand l'on souhaite visionner le contenu flash verrouillé. C'est-à-dire, dans les faits, quasi uniquement pour visionner la vidéo principale des sites comme youtube et dailymotion. La protection peut même être doublée en faisant usage d'un bloqueur de pub.

  9. #9
    Expert éminent sénior Avatar de Uther
    Homme Profil pro
    Tourneur Fraiseur
    Inscrit en
    Avril 2002
    Messages
    4 627
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Pyrénées Orientales (Languedoc Roussillon)

    Informations professionnelles :
    Activité : Tourneur Fraiseur

    Informations forums :
    Inscription : Avril 2002
    Messages : 4 627
    Points : 15 788
    Points
    15 788
    Par défaut
    Citation Envoyé par AoCannaille Voir le message
    Je croyais qu'une faille zero-day était une faille découverte avant la fin de la maintenance mais non utilisé tant que l'application était maintenu pour pouvoir l'utiliser justement dès qu'elle ne sera plus jamais corrigé.
    Non. La définition d'une faille 0-day, c'est qu'il s'agit d'une faille qui est découverte et utilisée malicieusement avant que l'auteur de l'application ne fasse un correctif.
    Il se peut que certains pirates qui découvrent une faillent 0-day attendent la fin du support pour être sur qu'ils n'y aura jamais de correctif. Mais la plupart des pirates les utilisent immédiatement profitant de la faille pendant le temps que l'auteur du logiciel mettra à la découvrir et la corriger en plus du temps que les utilisateur a mettre à jour.

    Citation Envoyé par leternel Voir le message
    "0 day", c'est comme "cloud", "agile". Un mot qu'il faut caser, mais qui ne signifie pratiquement plus rien
    Je dirais au contraire qu'il a une définition plutôt claire. Et en l’occurrence il convient parfaitement.

  10. #10
    Membre régulier
    Inscrit en
    Février 2010
    Messages
    47
    Détails du profil
    Informations forums :
    Inscription : Février 2010
    Messages : 47
    Points : 107
    Points
    107
    Par défaut
    Heureusement Youtube permet de voir ses videos sans Flash!

  11. #11
    Expert confirmé Avatar de AoCannaille
    Inscrit en
    Juin 2009
    Messages
    1 421
    Détails du profil
    Informations forums :
    Inscription : Juin 2009
    Messages : 1 421
    Points : 4 770
    Points
    4 770
    Par défaut
    Citation Envoyé par Uther Voir le message
    Non. La définition d'une faille 0-day, c'est qu'il s'agit d'une faille qui est découverte et utilisée malicieusement avant que l'auteur de l'application ne fasse un correctif.
    J'ai l'impression que ceci décrit juste une faille tout court. Ou alors comment appelles tu une faille utilisée malicieusement après que l'auteur de l'appli ne fasse un correctif ? ça n'a aucun sens, Au mieu cette faille n'existe plus au pire l'auteur ne l'a pas corrigé ou en a fait une nouvelle.

  12. #12
    Rédacteur
    Avatar de pcaboche
    Homme Profil pro
    Inscrit en
    Octobre 2005
    Messages
    2 785
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 44
    Localisation : Singapour

    Informations forums :
    Inscription : Octobre 2005
    Messages : 2 785
    Points : 9 716
    Points
    9 716
    Par défaut
    Citation Envoyé par AoCannaille Voir le message
    J'ai l'impression que ceci décrit juste une faille tout court. Ou alors comment appelles tu une faille utilisée malicieusement après que l'auteur de l'appli ne fasse un correctif ? ça n'a aucun sens, Au mieu cette faille n'existe plus au pire l'auteur ne l'a pas corrigé ou en a fait une nouvelle.
    Tout dépend si :
    1. des personnes bien intentionnées (auteur ou autres) sont au courant de l'existence de la faille
    2. un correctif existe
    3. des personnes mal intentionnées sont au courant et exploitent la faille dans les versions affectées (celles d'avant le correctif)

    Dans tous les cas c'est une faille, même si personne n'est au courant (pour prendre une analogie : un arbre qui tombe dans la forêt fait-il du bruit si personne ne l'entend tomber ?).

    C'est une faille "0-day" si 3 est vraie et 2 est fausse (et quelle que soit la valeur de 1).

  13. #13
    Expert éminent sénior Avatar de Uther
    Homme Profil pro
    Tourneur Fraiseur
    Inscrit en
    Avril 2002
    Messages
    4 627
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Pyrénées Orientales (Languedoc Roussillon)

    Informations professionnelles :
    Activité : Tourneur Fraiseur

    Informations forums :
    Inscription : Avril 2002
    Messages : 4 627
    Points : 15 788
    Points
    15 788
    Par défaut
    Citation Envoyé par AoCannaille Voir le message
    J'ai l'impression que ceci décrit juste une faille tout court. Ou alors comment appelles tu une faille utilisée malicieusement après que l'auteur de l'appli ne fasse un correctif ? ça n'a aucun sens, Au mieux cette faille n'existe plus au pire l'auteur ne l'a pas corrigé ou en a fait une nouvelle.
    Je ne crois pas qu'il y ait un nom particulier, mais mais la très grande majorité des failles de sécurité exploitées par les pirates ont des correctifs. Ils profitent du fait qu'une partie des utilisateurs n'installent pas les patchs ou tardent trop à le faire.

    La définition d'une faille de sécurité, c'est une vulnérabilité dans le code ou une erreur de conception exploitable pour engendrer un comportement indésirable de l'application, comme par exemple la planter(DOS), prendre le contrôle de la machine ou accéder à des données auxquelles on ne devrait pas avoir droit.

    Le plus souvent la faille est découverte par l'éditeur lui même, parfois par des utilisateurs ou des sociétés de sécurité qui contactent l'éditeur. Ainsi le correctif est disponible avant que les personnes mal intentionnés commencent à l'utiliser. Mais le fait qu'il y ait besoin d'un correctif est bien la preuve qu'il y avait une faille.
    On parle de faille 0-day uniquement quand la faille a été découverte et exploitée malicieusement par des pirates avant qu'un correctif soit disponible.

Discussions similaires

  1. Réponses: 10
    Dernier message: 16/04/2015, 12h22
  2. Réponses: 3
    Dernier message: 16/03/2015, 08h58
  3. Une nouvelle faille zero-day dans IE10 a été découverte
    Par Francis Walter dans le forum Sécurité
    Réponses: 3
    Dernier message: 28/02/2014, 09h51
  4. Réponses: 1
    Dernier message: 25/05/2011, 14h06
  5. Réponses: 0
    Dernier message: 25/05/2011, 12h25

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo