{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[],"affected_systems_content":"<P>Tous les syst\u00e8mes.</P>","closed_at":"2000-10-25","content":"## Description\n\nLes certificats sont utilis\u00e9s pour cr\u00e9er une relation de confiance entre\nun client et un serveur. Ils sont par exemple v\u00e9rifi\u00e9s lors d'une\nconnexion s\u00e9curis\u00e9e (HTTPS) \u00e0 un site, du t\u00e9l\u00e9chargement d'un fichier de\nmise \u00e0 jour, ou de l'ex\u00e9cution d'une appliquette java sign\u00e9e.\n\nUn des serveurs de certificat de Sun ayant \u00e9t\u00e9 compromis, il y a des\nrisques que ses certificats soient r\u00e9utilis\u00e9s par des utilisateurs mal\nintentionn\u00e9s, ou que les machines clientes de ce serveur soient\ncompromises lors d'\u00e9changes avec celui-ci.\n\nLes num\u00e9ros de s\u00e9ries de ces certificats sont les suivants :\n\n-   3181 B12D C422 SDAC A340 CF86 2710 ABE6 pour internet explorer,\n-   17:05:FB:13:A2:2F:9A:F3:C1:30:F5:62:6E:12:50:4C pour Netscape\n    Communicator (sauf Netscape6),\n-   1705FB13A22F9AF3C130F5626E12504C pour Netscape6.\n\n## Contournement provisoire\n\nAfin d'\u00e9viter d'ex\u00e9cuter des appliquettes java sign\u00e9es avec un\ncertificat vol\u00e9 ou provenant de la machine compromise, d\u00e9sactiver les\njava, javascripts, et ActiveX comme indiqu\u00e9 dans les bulletins\nCERTA-2000-AVI-002, CERTA-2000-ALE-001 et CERTA-2000-ALE-002,\nCERTA-2000-INF-002.\n\n## Solution\n\nSun recommande de supprimer de votre navigateur le certificat dont les\nnum\u00e9ros de s\u00e9ries correspondent \u00e0 ceux des certificats d\u00e9livr\u00e9s par ce\nserveur, et de v\u00e9rifier les num\u00e9ros de s\u00e9ries des \u00e9ventuels certificats\nlors de leur installation.\n\nVoici quelques exemples de navigateurs :\n\n-   Pour les utilisateurs d'Internet Explorer :\n\n    Dans le menu \u00ab Outils \u00bb, choisir \u00ab Options \u00bb. s\u00e9lectionner l'onglet\n    \u00ab Contenu \u00bb cliquer sur le bouton \u00ab Certificats \u00bb retrouver, dans la\n    fen\u00eatre qui appara\u00eet alors, un certificat nomm\u00e9 : \u00ab Sun Microsystems\n    Inc. \u00bb. Cliquer sur le bouton \u00ab Voir \u00bb. Si le num\u00e9ro de s\u00e9rie est le\n    suivant, il faut d\u00e9truire l'entr\u00e9e :\n\n    3181 B12D C422 SDAC A340 CF86 2710 ABE6\n\n    S'il vous est propos\u00e9 d'installer un certificat :\n\n    Une fen\u00eatre appara\u00eet demandant si vous d\u00e9sirez installer le\n    certificat en question. Pour obtenir des d\u00e9tails sur le certificat,\n    cliquer sur le lien hyper-texte \u00ab Sun Microsystems Inc. \u00bb Dans la\n    nouvelle fen\u00eatre, choisir l'onglet \u00ab d\u00e9tails \u00bb et y s\u00e9lectionner \u00ab\n    l'entr\u00e9e Num\u00e9ro de s\u00e9rie \u00bb. Refuser le certificat si le num\u00e9ro est\n    celui indiqu\u00e9 ci-dessus.\n\n-   Pour les utilisateurs de Netscape Communicator :\n\n    Dans le menu \u00ab Communicator \u00bb, \u00ab Outils \u00bb, \u00ab Options de s\u00e9curit\u00e9 \u00bb.\n    S\u00e9lectionner l'option \u00ab java/javascripts \u00bb dans la fen\u00eatre qui\n    appara\u00eet. Retrouver, dans le cadre content la liste des certificats,\n    un certificat nomm\u00e9 : \u00ab Sun Microsystems Inc. \u00bb. Cliquer sur le\n    bouton \u00ab Voir le Certificat \u00bb. Si le num\u00e9ro de s\u00e9rie est le suivant,\n    il faut d\u00e9truire l'entr\u00e9e :\n\n    17:05:FB:13:A2:2F:9A:F3:C1:30:F5:62:6E:12:50:4C\n\n    S'il vous est propos\u00e9 d'installer le certificat :\n\n    Une boite d'alerte appara\u00eet, vous demandant si vous d\u00e9sirez\n    installer le certificat. Pour obtenir des d\u00e9tails sur le certificat,\n    cliquer sur le bouton \u00ab certificat \u00bb. V\u00e9rifier le num\u00e9ro de s\u00e9rie\n    indiqu\u00e9 dans la fen\u00eatre qui appara\u00eet alors. Refuser le certificat si\n    le num\u00e9ro est celui indiqu\u00e9 ci-dessus.\n\n-   Pour les utilisateurs de Netscape6 :\n\n    Dans le menu \u00ab t\u00e2ches \u00bb, \u00ab S\u00e9curit\u00e9 et propri\u00e9t\u00e9 \u00bb, \u00ab Gestionnaire\n    de s\u00e9curit\u00e9 \u00bb, dans la fen\u00eatre qui appara\u00eet, onglet \u00ab certificats \u00bb,\n    retrouver un certificat nomm\u00e9 : \u00ab Sun Microsystems Inc. \u00bb. Si le\n    num\u00e9ro de s\u00e9rie est le suivant, il faut d\u00e9truire le certificat :\n\n    1705FB13A22F9AF3C130F5626E12504C\n\n    S'il vous est propos\u00e9 de l'installer :\n\n    Une bo\u00eete d'alerte appara\u00eet demandant si vous d\u00e9sirez installer le\n    certificat. Pour en savoir plus sur le certificat, cliquer sur \u00ab\n    Plus d'informations \u00bb. Dans la fen\u00eatre nomm\u00e9 \u00ab propri\u00e9t\u00e9s du\n    certificat \u00bb, s\u00e9lectionner \u00ab num\u00e9ro de s\u00e9rie \u00bb, et v\u00e9rifier ce\n    num\u00e9ro. S'il correspond \u00e0 celui indiqu\u00e9 au dessus, le refuser.\n","cves":[],"links":[{"title":"L'aide du bulletin d'alert Sun Microsystems :","url":"http://sunsolve5.sun.com/secbull/certificate_howto.html"}],"reference":"CERTA-2000-ALE-015","revisions":[{"description":"version initiale.","revision_date":"2000-10-25T00:00:00.000000"}],"risks":[{"description":"Usurpation d'identit\u00e9"}],"summary":"Sun Microsystems a annonc\u00e9 que l'un de leur serveur a \u00e9t\u00e9 compromis, on\nne peut donc plus faire confiance aux certificats g\u00e9r\u00e9s par ce serveur.\n","title":"Risque d'usurpation de l'identit\u00e9 de Sun Microsystems","vendor_advisories":[{"published_at":null,"title":"Bulletin de s\u00e9curit\u00e9 Sun Microsystems","url":null}]}