{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[{"description":"Microsoft Internet Explorer version 6.0 pour Windows Server 2003.","product":{"name":"Windows","vendor":{"name":"Microsoft","scada":false}}},{"description":"Microsoft Internet Explorer versions 5.01, 5.5 et 6.0 ;","product":{"name":"N/A","vendor":{"name":"Microsoft","scada":false}}}],"affected_systems_content":null,"closed_at":"2003-10-06","content":"## Description\n\nDans le bulletin de s\u00e9curit\u00e9 MS03-032 \"Cumulative Patch for Internet\nExplorer\" (se r\u00e9f\u00e9rer au bulletin CERTA-2003-AVI-139), Microsoft\nannon\u00e7ait publiquement l'existence d'une vuln\u00e9rabilit\u00e9 li\u00e9e \u00e0 un\ncontr\u00f4le incorrect du type de donn\u00e9es sp\u00e9cifi\u00e9 dans l'attribut data de\nla balise object et publiait un correctif.\n\nCette vuln\u00e9rabilit\u00e9 peut \u00eatre exploit\u00e9e au moyen d'un site web ou d'un\nmessage \u00e9lectronique au format HTML habilement constitu\u00e9 et permettre\nainsi \u00e0 un utilisateur mal intentionn\u00e9 d'ex\u00e9cuter du code arbitraire sur\nla plate-forme vuln\u00e9rable.\n\n  \n\nDepuis la sortie du bulletin, il a \u00e9t\u00e9 d\u00e9montr\u00e9 que le correctif propos\u00e9\npar Microsoft ne pr\u00e9vient pas l'exploitation de la vuln\u00e9rabilit\u00e9 dans le\ncas ou le document appelant n'est pas un document HTML statique.\n\nDes techniques d'exploitation de cette vuln\u00e9rabilit\u00e9 \u00e0 partir de\ndocuments HTML g\u00e9n\u00e9r\u00e9s dynamiquement ont largement \u00e9t\u00e9 d\u00e9crites dans\nplusieurs forums sur l'Internet.\n\n## Contournement provisoire\n\nDans l'attente de l'application du correctif, il est fortement conseill\u00e9\nde prendre certaines pr\u00e9cautions :\n\n-   limiter la consultation des sites WEB, respecter les r\u00e8gles d'usage\n    relatives \u00e0 la messagerie (se r\u00e9f\u00e9rer \u00e0 la note d'information\n    CERTA-2000-INF-002) ;\n\n-   d\u00e9sactiver le support des contr\u00f4les Active X au niveau d'Internet\n    Explorer ;\n\n-   renommer ou supprimer la clef de registre\n\n    `HKLM\\SOFTWARE\\Classes\\MIME\\Database\\Content      Type\\application/hta`\n    emp\u00eachant ainsi l'ex\u00e9cution de documents au format application/hta.\n\n## Solution\n\nLa version 1.4 du bulletin de s\u00e9curit\u00e9 MS03-032 \"Cumulative Patch for\nInternet Explorer\" mentionne l'existence d'un nouveau bulletin de\ns\u00e9curit\u00e9 MS03-040 \"Cumulative Patch for Internet Explorer\".\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 MS03-040 (cf. section Documentation)\npour la disponibilit\u00e9 du correctif.\n","cves":[],"links":[{"title":"Bulletin de s\u00e9curit\u00e9 MS03-040 \"Cumulative Patch for    Internet Explorer\" :","url":"http://www.microsoft.com/technet/security/bulletin/MS03-040.asp"},{"title":"Note d'information CERTA-2000-INF-002 \"Mesures de    pr\u00e9ventions relatives \u00e0 la messagerie\" :","url":"http://www.certa.ssi.gouv.fr"},{"title":"Bulletin de s\u00e9curit\u00e9 MS03-032 \"Cumulative Patch for    Internet Explorer\" :","url":"http://www.microsoft.com/technet/security/bulletin/MS03-032.asp"},{"title":"Bulletin CERTA-2003-AVI-139 \"Multiples vuln\u00e9rabilit\u00e9s dans    Internet Explorer\" :","url":"http://www.certa.ssi.gouv.fr"},{"title":"Note VU#865940 du cert/cc :","url":"http://www.kb.cert.org/vuls/id/865940"}],"reference":"CERTA-2003-ALE-004","revisions":[{"description":"version initiale.","revision_date":"2003-09-10T00:00:00.000000"},{"description":"Ajout d'une section Solution r\u00e9f\u00e9ren\u00e7ant le correctif Microsoft.","revision_date":"2003-10-06T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire \u00e0 distance"}],"summary":null,"title":"Vuln\u00e9rabilit\u00e9 d'Internet Explorer","vendor_advisories":[{"published_at":null,"title":"Bulletin de s\u00e9curit\u00e9 MS03-032 de Microsoft","url":null},{"published_at":null,"title":"Note VU#865940 du CERT/CC","url":null}]}