Même si votre version d’Adobe Flash est parfaitement à jour, votre ordinateur est vulnérable. Une faille zero-day met en péril votre ordinateur vu qu’elle est exploitée.
Flash est victime d’une nième faille de sécurité comme Adobe l’a officiellement confirmé. Cataloguée sous le nom de CVE-2015-7645, cette faille de type zero-day affecte même la version la plus récente de Flash, la version 19.0.0.207 qui a été publiée mardi.
Adobe indique qu’un correctif devrait être disponible au courant de la semaine prochaine.
Le plus grave est que des personnes malintentionnées utilisent déjà cette faille pour installer des logiciels malveillants sur les ordinateurs. À l’heure actuelle, il semble que les attaques utilisant cette faille ne ciblent que des organismes gouvernementaux, notamment dans le cadre d’une campagne d’espionnage de longue durée menée par un groupe connu sous le nom de Pawn Storm.
Comme le fait remarquer l’éditeur d’antivirus Trend Micro, il n’est pas rare qu’un exploit zero-day, une fois que son existence a été révélée, soit plus largement distribué, ce qui pourrait mettre en péril tous les ordinateurs équipés de Flash.
On sait pour le moment que les versions 19.0.0.185 et 19.0.0.207 sont vulnérables à cette faille, et certainement aussi les versions antérieures.
Dans leur campagne la plus récente, Pawn Storm a ciblé plusieurs ministères des Affaires étrangères avec des e-mails de phishing, des messages contenant des liens vers des sites proposant soi-disant des informations sur des événements actuels, par exemple « Suicide à la voiture piégée contre un convoi de l’OTAN à Kaboul » ou « Israël lance des frappes aériennes sur des cibles dans la bande de Gaza », des URL qui envoient en fait vers des sites qui utilisent l’exploit.
Détail intéressant, les sites hébergeant cette nouvelle faille Flash zero-day sont similaires à ceux utilisés l’années dernière par une attaque qui avait visé des membres de l’Organisation du Traité de l’Atlantique Nord (OTAN) et de la Maison-Blanche.
Dans le passé Pawn Storm a aussi ciblé des politiciens, des artistes et des journalistes en Russie, ainsi qu’infecté des appareils iOS appartenant à de gouvernements occidentaux et à des médias.
Certains chercheurs en sécurité associent Pawn Storm au gouvernement russe, mais sans véritable preuve pour le moment.
En attendant qu’Adobe publie un correctif pour Flash, il serait peut-être plus prudent de désactiver Flash.