La lecture des fichiers volés de l’entreprise de surveillance italienne controversée Hacking Team est des plus instructives pour les pirates.

On vient d’y trouver deux failles de sécurité jour zéro dans Adobe Flash : CVE-2015-5122 et CVE-2015-5123. Hacking Team utilise ce genre de failles inconnues pour aider ses clients comme l’Arabie Saoudite, la Russie ou le Soudan à s’infiltrer illégalement dans des systèmes ciblés.

Elles permettent l’installation de logiciels malveillants sur les ordinateurs des victimes, sous Windows, Mac OS X et Linux.

Il est recommandé de ne pas utiliser Flash avant que des correctifs de sécurité n’aient été publiés par Adobe. L’entreprise les promet pour cette semaine.

À peu près toutes les versions sont affectées :

  • Adobe Flash Player 18.0.0.203 et versions antérieures pour Windows et Macintosh ;
  • Adobe Flash Player 18.0.0.204 et versions antérieures pour Linux avec Google Chrome ;
  • Adobe Flash Player Extended Support Release version 13.0.0.302 et versions antérieures pour Windows et Macintosh ;
  • Adobe Flash Player Extended Support Release version 11.2.202.481 et versions antérieures pour Linux.

Toute personne peut vérifier la version installée en se rendant sur le lien : About Adobe Flash Player Page.

Parallèlement, Microsoft travaille sur un correctif de sécurité pour la vulnérabilité jour zéro lié aux polices de caractères Open Type, également découverte dans les fichiers de Hacking Team, qui affecte toutes les installations de Windows XP à Windows 8.1 en versions 32 et 64 bits.