Une faille 0 days de Flash exploitée dans un kit de piratage, Réactions à la publication du 22/01/2015

[WipeOut]

parce qu'il y'a encore des gens qui ont flash???

Il y a des logiciels comme Poser 2014 qui on besoin du flash pour juste afficher le contenu de la librairie

[__otto__]

Et click to flash il fait quoi ? Il fait lui même une animation Flash cliquable, la seule diference c'est que l'animation ne se joue pas, donc pas de ressource utilisée, mais flash est bien activé avec ce logiciel. Merci et bonne nuit.

Et bien on vas recommencer vu que monsieur qui sait tout ne comprend rien...
Click to flash REMPLACE ton animation flash par une <div> qui peut activer l'animation si l'utilisateur le souhaite. Tant que l'utilisateur ne l'active pas flash n'est pas chargé.
Mais comme tu vas encore vouloir la ramener je t'invite à lancer ton moniteur d'activité en surveillant ce qui se passe quand tu active une animation flash... c'est bizarre, tant qu'on n'active pas d'animation, il n'y a pas de Flash Player (Safari Internet plug-in) dans la liste des processus qui tournent...
Etrange non?

Ce message a été modifié par __otto__ - 23 Jan 2015, 13:44.

[greens]

Et click to flash il fait quoi ? Il fait lui même une animation Flash cliquable, la seule diference c'est que l'animation ne se joue pas, donc pas de ressource utilisée, mais flash est bien activé avec ce logiciel. Merci et bonne nuit.

Et bien on vas recommencer vu que monsieur qui sait tout ne comprend rien...
Click to flash REMPLACE ton animation flash par une <div> qui peut activer l'animation si l'utilisateur le souhaite. Tant que l'utilisateur ne l'active pas flash n'est pas chargé.
Mais comme tu vas encore vouloir la ramener je t'invite à lancer ton moniteur d'activité en surveillant ce qui se passe quand tu active une animation flash... c'est bizarre, tant qu'on n'active pas d'animation, il n'y a pas de Flash Player (Safari Internet plug-in) dans la liste des processus qui tournent...
Etrange non?

Effectivement, il n'a rien compris...
SpacetitoX: "click to flash" ou pas, met juste à jour ton plug-in flash en version 16.0.0.287 du module NPAPI et pis c'est tout...

[marc_os]

Je me suis débarrassé de Flash depuis que les navigateurs comme Chromium ou Firefox (avec Shumway) l'intègrent par défaut.

Si tu utilises Firefox ou n'importe quoi qui « intègrent par défaut » Flash, et bien tu ne t'en es pas « débarrassé » !

[AmrKen]

Salut !

HTML 5 arrive doucement, mais Flash Player est très utilisé aujourd'hui pour la vidéo.
Sur beaucoup de sites, si vous n'avez pas installer Flash, carrément impossible de lire leurs vidéos, à moins d'une parade, mais là je ne suis pas expert dans ce domaine.
Par contre Chrome incorpore directement le plug-in Flash par défaut.

A+.

[FardocheX]

Et on est vulnérable seulement sur des sites douteux donc ça élimine 99% des risques. Si on évite les sites de crack/serial number/porn louche, ça ne devrait pas trop être inquiétant.

[yiboomac]

La version 16.0.0.287 corrige la faille en principe.

Non. La version 16.0.0.287 publiée hier jeudi 22/01 ne corrige que la faille CVE-2015-0310.

Depuis, le site fournissant le produit exploitant cette faille a indiqué avoir une nouvelle variante disponible, adaptée à la version 16.0.0.287.
Adobe a alors communiqué hier qu'ils étudiaient ce nouvel exploit, pour savoir s'il était réel ou pas.

Le blog d'alerte d'Adobe identifie effectivement aujourd'hui ce nouvel exploit/variante comme la CVE-2015-0311,
et qu'une nouvelle version la corrigeant sera publiée vers la semaine du lundi 26 :
https://blogs.adobe.com/psirt/

[Chriz]

Et on est vulnérable seulement sur des sites douteux donc ça élimine 99% des risques. Si on évite les sites de crack/serial number/porn louche, ça ne devrait pas trop être inquiétant.

Adieu, plaisirs de l'internet donc...

[r@net54]

Et click to flash il fait quoi ? Il fait lui même une animation Flash cliquable, la seule diference c'est que l'animation ne se joue pas, donc pas de ressource utilisée, mais flash est bien activé avec ce logiciel. Merci et bonne nuit.

Et bien on vas recommencer vu que monsieur qui sait tout ne comprend rien...
Click to flash REMPLACE ton animation flash par une <div> qui peut activer l'animation si l'utilisateur le souhaite. Tant que l'utilisateur ne l'active pas flash n'est pas chargé.
Mais comme tu vas encore vouloir la ramener je t'invite à lancer ton moniteur d'activité en surveillant ce qui se passe quand tu active une animation flash... c'est bizarre, tant qu'on n'active pas d'animation, il n'y a pas de Flash Player (Safari Internet plug-in) dans la liste des processus qui tournent...
Etrange non?

Effectivement, il n'a rien compris...
SpacetitoX: "click to flash" ou pas, met juste à jour ton plug-in flash en version 16.0.0.287 du module NPAPI et pis c'est tout...

La realite est plus complexe que ca.
Un bloqueur de flash (et autres ccochoneries) va effectivement filtrer la page avant de l'afficher et remplacer les "zones" flash par des balises HTML inoffensives. De ce point de vu, les risques sont donc limités.
Mais Flash peut etre tout de meme chargé - rien ne garanti le fonctionnement des navigateurs-, et il n'y a pas que le navigateur WEB qui utilise potentiellement Flash.

Si on veut etre a l'abri de Flash et de ses dangers, qui rappelons le est la premiere porte d'entree lors des concours de hacking, la seule vraie solution c'est de le desinstaller, y compris dans Chrome et et Firefox. Il faut faire aussi attention aux softs qui utilisent Flash et toujours veiller a les utiliser hors reseaux si on ne peut pas desinstaller flash.
Il faut aussi penser a désactiver et desinstaller l'autre gouffre d'Adobe: Acrobat. Et surtout virer le module qui vient polluer les navigateurs WEB. Rappelez vous qu'une technique de jailbreak se basait sur l'ouverture d'un faux PDF sur un site!

Pour revenir a la news, il faut bien prendre en consideration que l'alerte qui a été lancee concerne une faille zero days! C'est grave.
Et il faut aussi prendre conscience que depuis des annees Adobe comble en urgences des failles graves qui lui ont ete remontees "gentiment" mais que chaque nouvelle version de cette saleté introduit des failles pires encore.

Donc encore une fois: DESINSTALLEZ définitivement Flash et fuyez les sites et softs qui l'utilisent!

Et on est vulnérable seulement sur des sites douteux donc ça élimine 99% des risques. Si on évite les sites de crack/serial number/porn louche, ça ne devrait pas trop être inquiétant.

Faux et archi faux!
Il est vrai que le type de site que tu evoques est reputé pour herberger des virus Flash et servir de zone de test.
Mais le danger de Flash ne se limite pas aux sites douteux: il y a les sites qui sont construits sur des "moteurs" qui contiennent des failles et plus généralement n'importe quel site peut etre piraté et le pirate peut installer des virus a l'insu de l'administrateur. J'ai meme eu echo d'une infection par XSS...
Et je n'evoquerai meme pas les sites de phishing qui font usage de flash a la pelle...

Et faut aussi se rappeler que Javascript permet de faire des redirections dynamiques...

[mazelle jeanne]

Les vieux PPC sont-ils concernés?

A chaque fois que tu poses ce genre de question, tu n'as jamais de réponse. Apple se moque éperdument des possesseurs de vieux mac et la plupart des honorables membres de ce forum aussi (humour).
Plus sérieusement, il me semble évident que nous sommes concernés et sans doute plus que les autres puisque nous avons une vieille version de Flash dont aucune faille n'est corrigée. Pour ma part, j'utilise TenFourFox qui ne supporte pas Flash, donc je pense être tranquille.

[Rorqual]

Il faut aussi penser a désactiver et desinstaller l'autre gouffre d'Adobe: Acrobat. Et surtout virer le module qui vient polluer les navigateurs WEB.

Oui pour le module pour navigateur Web (et encore...), non pour l'appli. Utiliser cette daube d'Aperçu pour les PDF ? Non merci. Capacités de recherche médiocres, certains PDF qu'il ne sait pas afficher correctement, gestion des formulaires hasardeuse...

[Sirix1995]

Les vieux PPC sont-ils concernés?

A chaque fois que tu poses ce genre de question, tu n'as jamais de réponse. Apple se moque éperdument des possesseurs de vieux mac et la plupart des honorables membres de ce forum aussi (humour).
Plus sérieusement, il me semble évident que nous sommes concernés et sans doute plus que les autres puisque nous avons une vieille version de Flash dont aucune faille n'est corrigée. Pour ma part, j'utilise TenFourFox qui ne supporte pas Flash, donc je pense être tranquille.

Moi, j'ai les deux : Safari avec ClickToFlash et TenFourFox sans flash. J'utilise en plus de ça ClamXav qui est un petit antivirus qui subsiste encore sur PPC. Avec tout ça, je pense que c'est bon. D'autant plus que les vieux PPC ne sont pas la plus grande cible des pirates je pense.

[mimac]

Sinon pour se passer de flash player

1) Utiliser Chrome qui a son propre flash intégré
2) forcer safari à considérer qu'il est sur un ipad (donc sans flash).

Pour cela faire
preference - Avancés - afficher le menu developpement
et dans le menu developpement choisir agent utilisateur - safari IOS 8.1 Ipad

Toutefois il faudra, dans ce cas, refaire la manip à chaque ouverture de safari
pour changer cela il faut faire dans terminal:
defaults write com.apple.Safari CustomUserAgent "'Mozilla/5.0 (iPad; U; CPU OS 3_2 like Mac OS X; en-us) AppleWebKit/531.21.10 (KHTML, like Gecko) Version/4.0.4 Mobile/7B334b Safari/531.21.10'"

Lien

Ce message a été modifié par mimac - 25 Jan 2015, 00:19.

[greens]

OSX: La version 16.0.0.296 du module NPAPI est maintenant disponible depuis les préférences système: Flash Player.



ATTENTION: Sur le site d'Adobe, pour l'instant, il affiche encore la version 16.0.0.287 https://get.adobe.com/fr/flashplayer/

Ce message a été modifié par greens - 25 Jan 2015, 09:20.

[Guest_macmagna_*]

Comme beaucoup, j'ai paniqué à la lecture de cette brève et désinstallé promptement Flash de ma machine, mais après l'émotion, la réflexion

A ma connaissance, sur un Mac il faut en passer par un malware ET une authentification pour contaminer sérieusement son système, donc en quoi cette faille Flash 0 day est-elle dangereuse pour les Mac users?
Le lecteur Flash s'exécute-t-il avec des droits admins? si ce n'est pas le cas, que peut-il bien faire comme dégats avec des droits restreints?

[ronparchita]

Comme beaucoup, j'ai paniqué à la lecture de cette brève et désinstallé promptement Flash de ma machine, mais après l'émotion, la réflexion

C'est exactement ça ! j'en suis encore à la période des émotions. Je reçois un message du Monde pour m'aviser que je peux le consulter en ligne. Donc, je clic sur le lien et là, grosse émotion, mon ordi me montre une fenêtre me disant que je ne peux pas voir mon journal sans installer…quoi tu sais
Toi qui a commencé à réfléchir avec de l'avance, que ferais tu s'il te plait à ma place ?

D'avance, merci,

[Guest_macmagna_*]

Comme beaucoup, j'ai paniqué à la lecture de cette brève et désinstallé promptement Flash de ma machine, mais après l'émotion, la réflexion

C'est exactement ça ! j'en suis encore à la période des émotions. Je reçois un message du Monde pour m'aviser que je peux le consulter en ligne. Donc, je clic sur le lien et là, grosse émotion, mon ordi me montre une fenêtre me disant que je ne peux pas voir mon journal sans installer…quoi tu sais
Toi qui a commencé à réfléchir avec de l'avance, que ferais tu s'il te plait à ma place ?

D'avance, merci,

Tu peux DOIS écrire au Monde pour leur demander de diffuser leurs vidéos via HTML5 et éradiquer Flash, mais il est peu probable qu'ils accèdent à ta demande

Tu peux aussi re-installer Flash et le bloquer pour tout autre site que LeMonde via les préférences de Safari->Sécurité->Autoriser les modules->Réglages des sites web... mais j'ignore si ce réglage va réellement empêcher le chargement du lecteur dans les autres cas, il faudrait pour cela savoir exactement comment fonctionne Safari concernant le blocage des modules.

Le mieux serait encore de savoir ce que l'on risque vraiment avec un lecteur Flash vérolé, d'où mes deux questions précédentes:

1) A ma connaissance, sur un Mac il faut en passer par un malware ET une authentification pour contaminer sérieusement son système, donc en quoi cette faille Flash 0 day est-elle dangereuse pour les Mac users?
2) Le lecteur Flash s'exécute-t-il avec des droits admins? si ce n'est pas le cas, que peut-il bien faire comme dégats avec des droits restreints?

[ronparchita]

Tu peux DOIS écrire au Monde pour leur demander de diffuser leurs vidéos via HTML5 et éradiquer Flash, mais il est peu probable qu'ils accèdent à ta demande

Je n'ai pas eu besoin.
Si je vais sur le site de Le Monde via Safari, je n'ai aucun problème pour visionner les vidéos alors que j'ai désinstallé flash player.
Comment ça fonctionne et avec quoi, je ne sais pas.

Par contre, quand je clique sur le lien de l'email que Le Monde m'adresse quand la version a telecharger du journal est prête, dans la page qui normalement s'ouvre, je clic pour donner mes codes qui me permettent de telecharger le journal ou plutôt d'y avoir accès. Mais je ne peux pas accéder à cette première page parce qu'il manque le plug in flash player, d'après le message que je vois s'afficher sur mon écran.

[Guest_macmagna_*]

Par contre, quand je clique sur le lien de l'email que Le Monde m'adresse quand la version a telecharger du journal est prête, dans la page qui normalement s'ouvre, je clic pour donner mes codes qui me permettent de telecharger le journal ou plutôt d'y avoir accès. Mais je ne peux pas accéder à cette première page parce qu'il manque le plug in flash player, d'après le message que je vois s'afficher sur mon écran.

Dans ce cas tu dois les contacter et leur demander si il ont mis en place un autre moyen pour t'identifier et récupérer ta version abonné. si ce n'est pas le cas, tu devras re-installer Flash juste pour ça, mais tu pourras le limiter à ce site comme indiqué précédemment (préférences de Safari->Sécurité->Autoriser les modules->Réglages des sites web).

[PP_Emile]

Bonjour
je ne suis pas un pro des forums . J'ai posté une question hier mes de toutes évidence je mis suis mal pris.

Voilà , je pense avoir lu toutes cette discussion sur FLash .
Comme beaucoup j'ai dé-installé Flash la semaine dernière. Après recherche sur le WEB j'ai installé un module complémentaire sur Firefox [SHUMWAY] mais il ne fait rien !

Par contre depuis j'ai ré-installé Flash 16.0.0.296 et là lorsque j'ouvre une page avec flash (exemple Geoportail) il me faut cliquer sur une petite note en haut à droite de lapage 'shumway' ensuite l'animation ce lance ?

Question quelle est le lien entre Flash et shumway ?

[apenSPEL]

[…]
Question quelle est le lien entre Flash et shumway ?

Ça doit être écrit là où tu l'as trouvé.

[PP_Emile]

eh bien oui et non !

on peut jouer au devinette :-)

Dans differentes news que j'ai lu il indique : enfin plus besoin de flash 'Shumway' arrive sur firefox. Donc je comprends que cela remplace Flash !

Comme dans Chrome ou l'on peut afficher la carto de geoportail sans flash ou sur le site de logis de france pour afficher la carto de recherche ... par exemple

Seulement cela ne marche pas . Ou je mis prend mal !

Tout ce que je constate c'est … une fois installé dans Firefox ce module rajoute quelque chose qui empéche Flash de démarrer tand que l'on a pas cliqué sur la petit note [Shumway] ?
Alors as tu une réponse ?
OU la question est trop simple et je me retire avec toute mes excuses ;-(

[apenSPEL]

Hum, on ne va pas assurer le support de tout et n'importe quoi tout de même. Déjà que eux sont pas foutu de le faire et que ceux qui s'en plaignent ne donnent pas de lien…
Moi j'ai viré le plugin Flash et sur les sites bien faits j'obtiens un contenu HTML5 à la place. Les sites mal faits, je m'en fiche.

[PP_Emile]

https://github.com/mozilla/shumway/


voici le lien vers la page Shumway