Intrapole
VOUS  TES ICI : Accueil » Alertes Sécurité »

Des failles dans Flash et Windows font l’objet d’attaques ciblées

par La rédaction, ZDNet France. Publié le 15 mars 2011

Sécurité - Une faille critique dans Flash Player, et affectant Adobe Reader et Acrobat, est la cible d’attaques exploitant un fichier piégé .swf intégré dans un document Excel. Une vulnérabilité non corrigée de Windows, divulguée le 28 janvier, fait également l’objet d’attaques, limitées selon Microsoft.

Le 11 mars, Microsoft a mis à jour un bulletin de sécurité publié initialement le 28 janvier et concernant une vulnérabilité dans le composant MIME HTML. Selon l’éditeur, cette faille fait désormais l’objet d’attaques ciblées, mais en nombre restreint.

Microsoft rappelle que cette vulnérabilité affecte les différentes versions de Windows (en éditions poste de travail et serveur) et permet à un attaquant d’exécuter des scripts malveillants sur des pages Web (affichées dans Internet Explorer).

Un risque de divulgation d’informations

Un correctif provisoire, ou Fix it, est déjà disponible. La firme n’indique pas en revanche quand un patch, distribué via le module de mise à jour de Windows, sera diffusé auprès des utilisateurs. Sauf publication d’un correctif hors cycle, il sera disponible au plus tôt le 12 avril (jour du Patch Tuesday).

Le 11 mars, Adobe, dont les produits souffrent de problèmes récurrents de sécurité, a également publié un bulletin d’alerte. L’éditeur alerte les utilisateurs sur la présence d’une faille critique de Flash Player, affectant également le composant authplay.dll d’Adobe Reader et Acrobat (pour Windows et Mac).

D’après Adobe, cette vulnérabilité logicielle est d’ores et déjà exploitée pour lancer des attaques. Des rapports cités par Adobe indiquent qu’il s’agit d’attaques ciblées contre un nombre réduit d’organisations.

Des correctifs Adobe dès la semaine du 21 mars, sauf pour Reader

Le mode d’attaque consiste à exploiter un fichier Flash malveillant (.swf) intégré dans un document Microsoft Excel. Une exploitation réussie permet alors d’installer un programme malveillant sur une machine vulnérable.

Selon Adobe, des fichiers .pdf piégés n’ont pas encore été utilisés. Ce scénario ayant été exploité par le passé, l’éditeur reste vigilant.

Dans son bulletin, l’éditeur précise qu’un correctif pour Flash Player (versions 10.x et suivantes pour Windows, Macintosh, Linux, Solaris et Android) sera diffusé au cours de la semaine du 21 mars.

Une mise à jour de sécurité pour Acrobat (10.0.1, 10.x et 9.x) est également planifiée durant cette période. Le correctif pour Adobe Reader X est en revanche différé au 14 juin.

Source : zdnet.fr