{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[],"affected_systems_content":"<P>Microsoft Windows 9x, Millenium Edition, NT et 2000 ayant  install\u00e9 la machine virtuelle Java de Microsoft (quasiment  tous).</P>","content":"## Description\n\nLa machine virtuelle Java de Microsoft contient une fonctionnalit\u00e9 qui\npermet \u00e0 une appliquette java de cr\u00e9er, modifier et ex\u00e9cuter un contr\u00f4le\nactiveX. Normalement, ceci n'est possible que dans le cas o\u00f9 cette\nappliquette est ex\u00e9cut\u00e9 de fa\u00e7on isol\u00e9e (localement, sur la machine) ou\nsi elle est sign\u00e9e.\n\nUne vuln\u00e9rabilit\u00e9 dans la machine virtuelle permet \u00e0 une appliquette\njava, contenue, par exemple, dans une page web ou un m\u00e9l au format HTML,\nde manipuler les contr\u00f4les ActiveX, m\u00eame non marqu\u00e9s \u00ab reconnu s\u00fbr pour\nl'\u00e9criture de scripts \u00bb. Ceci permet \u00e0 un utilisateur mal intentionn\u00e9,\npar le biais d'un site malicieux, ou d'un m\u00e9l de prendre enti\u00e8rement\npossession \u00e0 distance d'une machine.\n\n## Solution\n\nComme indiqu\u00e9 dans les bulletin CERTA-2000-AVI-002, CERTA-2000-ALE-001\net CERTA-2000-ALE-002, CERTA-2000-INF-002 :\n\nD\u00e9sactiver l'ex\u00e9cution des appliquettes Java et des javascript dans les\nparam\u00e8tres de s\u00e9curit\u00e9 d'internet explorer et d'Outlook (ou Outlook\nExpress).\n\nD\u00e9sactiver les contr\u00f4les ActiveX dans les param\u00e8tres de s\u00e9curit\u00e9\nd'internet explorer et dans toute application en pemettant l'ex\u00e9cution.\n\nPour savoir si la machine virtuelle est install\u00e9e et conna\u00eetre sa\nversion, taper la commande JVIEW \u00e0 l'invite de commande.\n\nUn num\u00e9ro de version du type X.YY.zzzz appara\u00eet, o\u00f9 zzzz est le num\u00e9ro\nde construction. Seules les versions ayant le num\u00e9ro de construction\n(build number) dans la s\u00e9rie 2000, 3100, 3200 et 3300 sont vuln\u00e9rables.\n\nAppliquer le correctif de Microsoft, dont le num\u00e9ro de construction sera\n3318, pour les s\u00e9ries 3100 \u00e0 3300 :\n\n    http://www.microsfot.com/java/vm/dl_vm40.htm\n\nPour la s\u00e9rie 2000, il n'existe pas de correctif actuellement.\n","cves":[],"links":[{"title":"la FAQ du bulletin :","url":"http://www.microsoft.com/technet/security/bulletin/fq00-075.asp"},{"title":"Le bulletin de s\u00e9curit\u00e9 Microsoft :","url":"http://www.microsoft.com/technet/security/bulletin/ms00-075.asp"},{"title":"la base de connaissances Microsoft :","url":"http://www.microsoft.com/technet/support/kb.asp?ID=275609"}],"reference":"CERTA-2000-AVI-059","revisions":[{"description":"version initiale.","revision_date":"2000-10-13T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire"},{"description":"Compromission de la machine"}],"summary":"Une vuln\u00e9rabilit\u00e9 dans la machine virtuelle Java de tous les syst\u00e8mes\nMicrosoft Windows permet \u00e0 un utilisateur mal intentionn\u00e9 de faire\nex\u00e9cuter par une machine tout ce qui est permis \u00e0 l'utilisateur courant\npar le biais d'une appliquette java sur un site web malicieux ou un\nemail au format HTML, par exemple.\n","title":"Vuln\u00e9rabilit\u00e9 dans la machine virtuelle Java de Microsoft","vendor_advisories":[{"published_at":null,"title":"Bulletin de s\u00e9curit\u00e9 de Microsoft","url":null}]}