S'identifier / Créer un compte
  • Actualités
  • Dossiers
  • Tests
  • Commentaires
  • INpactiens
Publicité

Flash corrigé pour empêcher l'espionnage par webcam et micro

Souriez, vous êtes espionnés

Adobe travaille actuellement à la résolution d’un problème concernant son lecteur Flash. Celui-ci est singulier car, une fois exploité, il peut permettre à un pirate de prendre le contrôle de la webcam d’un utilisateur et donc de l’espionner à son insu.

webcam 

Un détournement de clics et une webcam possédée

La faille a été découverte Feross Aboukhadijeh, un étudiant en informatique de l’université de Stanford. Il explique sa découverte sur son blog et poste d’ailleurs une vidéo de démonstration pour prouver ses dires :


La technique au centre de l’exploitation est particulièrement connue et très en vogue, surtout sur Facebook : le clickjacking. Ainsi de nombreux utilisateurs se sont fait avoir sur des sites simulant un bouton Lecture ou « J’aime » et engendrant en réalité un suivi de la page. Le but est toujours d’amener l’utilisateur à effectuer une action contre sa volonté et qu’il n’aurait sans doute pas menée s’il avait eu le choix.

Le concept derrière l'exploitation

Dans le cas de la faille de Flash, il a suffi à Feross Aboukhadijeh de cacher un contrôle d’activation de la webcam derrière un faux bouton dans un jeu vidéo. Plus précisément, il a caché le fichier SWF du Flash Settings Manager dans un iFrame ce qui lui permet de contourner le contrôle JavaScript. Ce fameux contrôle qui demande à l'utilisateur s'il veut ou non activer la webcam.

L’auteur ne s’attendait pas à ce qu’un fichier SWF caché dans un iFrame puisse effectivement être utilisé pour du clickjacking et du coup activer la caméra à l'insu de l'utilisateur.

adobe flash 

Techniquement, tous les systèmes d’exploitations et navigateurs sont concernés, mais l’enchainement des actions menant à l’activation de la webcam requière plusieurs clics très précis, un élément sur lequel le pirate ne peut avoir aucune garantie de succès. Feross Aboukhadijeh a écrit un proof-of-concept mais ce dernier ne fonctionne réellement que dans Safari et Firefox qui sont les seuls à pouvoir modifier l’opacité ou le z-index d’un fichier SWF dans un iFrame. Il estime cependant qu’une autre exploitant des iFrames multiples pourrait fonctionner n’importe où.

Adobe a fini par réagir

Aboukhadijeh ajoute sur son blog qu’il a prévenu Adobe du problème voilà plusieurs semaines mais que l’éditeur n’avait pas répondu. Mais la situation est maintenant différente car son billet a fait le tour du web et la presse s’est emparée du sujet, deux évènements qui ont poussé Adobe a passer du point mort à la première. Sur CNet, Adobe a seulement réagi voilà deux jours par le biais de la porte-parole Wiebke Lips :

« Notre équipe d’ingénieurs travaille actuellement sur une solution. Notez que le problème n’implique ou ne requière pas une mise à jour logicielle et/ou une action de l’utilisateur (en d’autres termes, il n’y aura aucun bulletin de sécurité). Il s’agit d’un correctif que nous développons en ligne de notre côté, et il sera publié en direct dès que l’assurance qualité aura terminé ses tests. »

Elle avait ajouté que le correctif pourrait être prêt dès la fin de cette semaine. Chose promise, chose due : le fichier SWF Flash Player Settings Manager a été mis à jour sur les serveurs d’Adobe. Tous les appels dirigés vers lui tiennent donc compte désormais de la correction et ne permettent plus d’activer la webcam ou le microphone.
Vincent Hermann

Rédacteur/journaliste spécialisé dans le logiciel et en particulier les systèmes d'exploitation. Ne se déplace jamais sans son épée.

Google+

Publiée le 21/10/2011 à 16:12

Soutenez l'indépendance de Next INpact en devenant Premium

  • Tout le contenu de Next INpact sans pub
  • Et bien plus encore...
;