Logo Adobe Pro Adobe alerte sur la présence d'une nouvelle vulnérabilité de sécurité découverte dans Flash Player et Adobe Reader. Les versions les plus à jour et antérieures sont concernées, et ce pour toutes les plateformes supportées.

La faille est en réalité présente dans Flash Player, dont un module est intégré dans Reader. Reste que pour le moment, Adobe ne fait état pour cette faille 0-day que d'une exploitation dans le cadre d'attaques prenant pour cible Reader. Aucune attaque ciblant Flash Player ( la version autonome ) n'est pour le moment remontée aux oreilles d'Adobe.

La décision d'Adobe paraît alors un peu étrange, dans la mesure où l'éditeur va d'abord fournir une mise à jour de Flash Player 10.x afin de combler la faille, puis une mise à jour une semaine plus tard pour Adobe Reader. La publication est prévue dans la semaine du 9 novembre pour Flash Player et celle du 15 novembre pour Adobe Reader.

Il faut néanmoins souligner que si Adobe ne propose pas de mesure de contournement pour Flash Player, c'est par contre le cas pour Reader avec la désactivation de la fonctionnalité AuthPlay. La démarche à suivre est explicitée dans l'avis de sécurité, et aura pour effet secondaire de planter Reader ou d'afficher un message d'erreur lors de l'ouverture d'un fichier PDF avec du contenu Flash. Le composant AuthPlay était déjà impliqué en juin dernier pour une vulnérabilité critique dans les mêmes produits.

Selon ThreatExpert, la faille est exploitée contre la version Windows de Reader afin de permettre l'installation d'un cheval de Troie identifié sous le nom générique de Dropper-P par Sophos et comme Wisp par Microsoft. Ce malware a pour but de voler des données personnelles et d'installer d'autres nuisibles. Pour Secunia, la vulnérabilité est jugée extrêmement critique.

Rappelons que d'ici la fin du mois de novembre prochain, Adobe va mettre en ligne une nouvelle version d'Adobe Reader estampillée X qui intégrera une technologie de sandbox ( pour Windows ). De quoi limiter les effets d'attaques en isolant l'application du reste des composants de base du système d'exploitation.