0-Day : Une faille critique dans Adobe Reader colmatée demain
Mais exploitée aujourd'hui
Une faille de sécurité critique vient de frapper le lecteur de fichier PDF Adobe Reader. Un correctif destiné à colmater la brèche est attendu en début de semaine, le 13 octobre normalement. En attendant, il faudra se méfier puisque la faille permet l’exploitation d’un code à distance dès la simple ouverture du PDF piégé.
La plupart des versions récentes sont concernées (Adobe Reader 9.x, Adobe Reader 8.x) sur Mac OS, Windows et Unix, et même la version 7.x sur Mac et Windows. Et déjà, on signale des exploits « 0-Day ». Les quelques pistes données par Adobe visent seulement à amoindrir les risques d'exploitation. Elles consistent à désactiver Javascript par Adobe (menu Edition, Préférences, Javascript, et décocher Activer Acrobat Javascript). Toutefois, Adobe indique que cela n’empêchera pas les variantes qui ne se fondent pas sur JavaScript. Seules exceptions, les utilisateurs de Vista avec la prévention d'exécution des données (Data Execution Prevention ou DEP) ne sont pas à ce jour, impactés.
Demain, la journée sera chargée puisque Microsoft en profitera aussi pour sortir 13 bulletins corrigeant un total de 34 failles, dont une sur le tout frais Windows 7.
La plupart des versions récentes sont concernées (Adobe Reader 9.x, Adobe Reader 8.x) sur Mac OS, Windows et Unix, et même la version 7.x sur Mac et Windows. Et déjà, on signale des exploits « 0-Day ». Les quelques pistes données par Adobe visent seulement à amoindrir les risques d'exploitation. Elles consistent à désactiver Javascript par Adobe (menu Edition, Préférences, Javascript, et décocher Activer Acrobat Javascript). Toutefois, Adobe indique que cela n’empêchera pas les variantes qui ne se fondent pas sur JavaScript. Seules exceptions, les utilisateurs de Vista avec la prévention d'exécution des données (Data Execution Prevention ou DEP) ne sont pas à ce jour, impactés.
Demain, la journée sera chargée puisque Microsoft en profitera aussi pour sortir 13 bulletins corrigeant un total de 34 failles, dont une sur le tout frais Windows 7.
Marc Rees
le 12 octobre 2009 à 10:50
(13 758
lectures)
Actualités et brèves relatives
- 09 / 10 / 2009 : Microsoft : 34 failles dans les prochains bulletins, dont une pour ...
- 09 / 10 / 2009 : VirtualBox 3.0.8 disponible : de nombreux problèmes corrigés
- 06 / 10 / 2009 : Le site de l'Hadopi protégé des attaques DoS... et de la presse
- 30 / 09 / 2009 : iPhone : une faille permet de récupérer le N° de téléphone (màj)
- 21 / 09 / 2009 : Piratage du réseau Wi-Fi : « La Bbox est vraiment un ovni »
- 09 / 09 / 2009 : Vista et Server 2008 : une faille dans le protocole SMB v2
- 09 / 09 / 2009 : Microsoft : bulletins de sécurité du mois de septembre 2009
- 02 / 09 / 2009 : Microsoft publie un bulletin d'alerte sur la faille zero day IIS
