Toujours trop de versions dépassées et vulnérables de Flash et Java

Nous savons depuis longtemps que Java et Flash sont des cibles de prédilection pour les cyberattaques. Ils sont attrayants pour les individus malintentionnés en raison du nombre élevé d’utilisateurs et de la sécurité qui laisse à désirer. Et comme l’ indique une nouvelle étude réalisée par Websense, les utilisateurs de ces applications se soucient rarement de la mise à jour. D’après les données de la société, seuls 19 % des utilisateurs en entreprises travaillent actuellement avec la version la plus récente de Java tandis que 25 % des utilisateurs de Flash se contentent d’utiliser des versions vieilles d’au moins 6 mois.

Ces nouvelles statistiques proposées par Websense sur la base de données récoltées au cours du mois dernier démontrent clairement la triste situation des utilisateurs qui augmente les chances de réussite des cyberattaques. Les modules et extensions pour navigateur sur la base de Java et de Flash sont devenus des proies faciles pour les auteurs des attaques, non seulement en raison de leur large diffusion, mais également parce que les utilisateurs les mettent rarement à jour. Dans la majorité des cas, les mises à jour des systèmes d’exploitation et des navigateurs sont automatiques, ce qui permet aux utilisateurs de ne pas se soucier de leur sécurité. La situation est différente au niveau des extensions de navigateur. L’utilisateur doit installer lui-même les nouvelles versions de ces produits et nombreux sont les utilisateurs qui négligent ces tâches.

Ce manque de sérieux vis-à-vis de la sécurité est un avantage pour les auteurs des cyberattaques : en effet, beaucoup de ces attaques reposent sur des codes d’exploitation d’anciennes vulnérabilités qui ont été rectifiées dans les versions les plus récentes des modules externes. Ceci étant dit, les auteurs des attaques exploitent également les nouvelles vulnérabilités si ils y ont accès. Ainsi, les experts de Websense ont découvert récemment deux codes d’exploitation de nouvelles vulnérabilités de Java dans le kit d’exploitation Neutrino.

Comme l’explique Matthew Mors dans le blog de Websense, « Les nouveaux codes d’exploitation Java pour les vulnérabilités CVE-2013-2473 et CVE-2013-2463 provoquent déjà de sérieux dégâts en ciblant les ordinateurs dotés d’anciennes versions de Java. Il est évident que les individus malintentionnés connaissent parfaitement l’ampleur de la problématique de la mise à jour de Java à l’échelle d’une organisation. »

L’expert poursuit en indiquant que « ces codes d’exploitation sont dangereux pour 40 % des utilisateurs de Java 6 et le correctif pour cette faille n’est pas encore prévu. L’existence de systèmes complexes de livraison de codes d’exploitation comme Neutrino et la présence de vulnérabilités dans Java 6 sont très dangereuses pour les organisations qui ne sont pas encore passées à Java 7. »

Au cours des deux dernières années, les experts en sécurité ont souvent critiqué Oracle pour son manque d’intérêt à améliorer la sécurité de Java. Toutefois, si l’utilisateur n’actualise pas ses produits au fur et à mesure que des mises à jour sont proposées, il fait entrer lui-même le loup dans la bergerie.

Les utilisateurs de Flash ne sont pas non plus très rapides quand il s’agit de mettre à jour leurs applications. Ce problème est grave car les produits Flash sont les plus répandus sur Internet. Le fait que près de 40 % de ces installations soient des versions dépassées et vulnérables facilite grandement la tâche des cybercriminels.

Source: threatpost.com

Posts similaires

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *