S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 20 décembre 2004
N° CERTA-2004-ALE-013
Affaire suivie par: CERT-FR

Bulletin d'alerte du CERT-FR

Objet: Vulnérabilité dans le composant ActiveX DHTML Edit d'Internet Explorer

Gestion du document

Référence CERTA-2004-ALE-013
Titre Vulnérabilité dans le composant ActiveX DHTML Edit d'Internet Explorer
Date de la première version20 décembre 2004
Date de la dernière version20 décembre 2004
Source(s) Liste de diffusion Bugtraq
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire

Systèmes affectés

Internet Explorer version 6.0 sur Microsoft Windows SP1 et SP2.

Résumé

Une vulnérabilité présente sur le composant ActiveX DHTML Edit permet à un utilisateur mal intentionné d'exécuter un code arbitraire sur le système vulnérable.

Description

Une vulnérabilité présente dans la focntion execScript() du composant ActiveX DHTML Edit permet à un utilisteur mal intentionné, via un site web malicieusement construit, de réaliser l'exécution de code ayant les privilèges de l'utilisateur du navigateur vulnérable.

Contournement provisoire

Désactiver le support des composants ActiveX dans le navigateur si cela n'est pas déjà fait.

Solution

Se référer aux solutions préconisées dans l'avis du CERTA numéro CERTA-2005-AVI-059 :

http://www.certa.ssi.gouv.fr/site/CERTA-2005-AVI-059/index.html

Documentation

Gestion détaillée du document

    le 20 décembre 2004
    version initiale.