Risque
- Exécution de code arbitraire à distance
Systèmes affectés
Mozilla Firefox 3.5.
Résumé
Une vulnérabilité affectant le traitement d'une balise HTML permet à une personne malveillante d'exécuter du code arbitraire à distance.
Description
Une vulnérabilité affectant le traitement de la balise <font> par l'interpréteur JavaScript permet à une personne malveillante d'exécuter du code arbitraire à distance au moyen d'une page web spécialement écrite.
Un code permettant l'exploitation de cette vulnérabilité est disponible sur l'Internet.
Contournement provisoire
Dans l'attente d'un correctif le CERTA recommande d'utiliser un navigateur alternatif ou de naviguer avec le JavaScript désactivé.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Secunia 35798 du 14 juillet 2009 http://secunia.com/advisories/35798
- Article de sécurité Mozilla du 14 juillet : http://blog.mozilla.com/security/2009/07/14/critical-javascript-vulnerability-in-firefox-35/
- Bulletin de sécurité de la fondation Mozilla MFSA 2009-41 du 16 juillet 2009 : http://www.mozilla.org/security/announce/2009/mfsa2009-41.html
- Référence NIST du CVE-2009-2477 : http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2009-2477
- Référence CVE CVE-2009-2477 https://www.cve.org/CVERecord?id=CVE-2009-2477
