Risque
- Atteinte à la confidentialité des données
Systèmes affectés
- Netscape Navigator toutes versions et Communicator 4.74 et inférieures si java est activé. Vulnérabilité indépendante du système d'exploitation.
Résumé
Une vulnérabilité de la machine virtuelle java (java Virtual Machine) a été découverte sur Netscape Navigator et Communicator. Elle permet à un serveur web hostile de démarrer un processus serveur à l'insu de l'utilisateur qui navigue sur ce site. Ce processus permet à n'importe quel navigateur web de lire toutes les données locales accessibles par l'utilisateur connecté.
Description
Un administrateur mal intentionné ayant déposé sur son site web une applet java peut lire le contenu du disque des utilisateurs possédant Netscape Navigator ou Communicator et ayant activé java. Ceci n'est possible que si l'utilisateur se connecte au site hostile et si java est activé.
L'applet java exécutée par le client parcourant le site hostile le transforme alors en serveur web rendant toutes les données auxquelles l'utilisateur à accès, y compris celles situées sur des répertoires ou disques réseaux, visibles par internet.
De nombreuses exploitations ont déjà été diffusées sur internet.
Il n'est pas exclus que des adaptations soient développées sous tout navigateur, et avec toutes sortes de langages, notamment ActiveX pour Internet Explorer ou Visual Basic, ou étendu aux mails aux formats HTML.
Contournement provisoire
Tout site doit avoir un garde-barrière, la configuration de ce garde-barrière doit interdire les connexions vers les machines protégées. En d'autre terme les client du site protégé ne peuvent pas être des serveurs vers internet grâce aux règles du garde-barrière.
Il est donc important de ne pas naviguer depuis un serveur, car il n'est pas protégé par le garde-barrière.
Le port d'écoute du serveur peut être déterminé par l'administrateur mal intentionné, il n'est donc pas prévisible.
Cette mesure ne protègera pas contre une attaque de l'intérieur.
Solution
Il n'y a pas de correctif actuellement disponible.
Désactiver Java du navigateur web.
Pour prévenir toute évolution, désactiver aussi ActiveX des navigateurs Internet Explorer.
Documentation
- Avis du CIAC du 09 août 2000 None
- Réseau de confiance du 09 août 2000 None
- Site ou la vulnérabilité de Java dans Netscape est décrite, et où on peut trouver un exemple d'exploitation. (Nota : Cet exemple, et les multiples autres déjà présents sur le web peuvent être modifiés pour un usage encore plus malfaisant) http://www.brumleve.com/BrownOrifice/
- avis K-063 du CIAC : http://www.ciac.org/ciac/bulletins/k-063.shtml
