Risques

  • Accès aux données de l'utilisateur
  • Contournement des mécanismes de protection
  • Exécution de code arbitraire
  • Vulnérabilité de type "cross site scripting" (cf. note d'information certa-2002-inf-001)

Systèmes affectés

  • Microsoft Internet Explorer 5.01 ;
  • Microsoft Internet Explorer 5.5 ;
  • Microsoft Internet Explorer 6.0.

Résumé

Plusieurs vulnérabilités ont été mises en évidence dans le logiciel Internet Explorer de Microsoft.

Description

La première vulnérabilité, de type « Cross Site Scripting », permet d'exécuter du code arbitraire avec des droits privilégiés par rapport à la « Zone Internet ».

La seconde vulnérabilité permet à un concepteur de site mal intentionné, par le biais de feuilles de style judicieusement composées, de lire les données locales de la machine parcourant ce site

La troisième vulnérabilité permet, par le biais de scripts contenus dans des « cookies », d'accèder aux informations contenues dans les autres « cookies » de la machine cible.

La quatrième vulnérabilité permet à un concepteur de site d'usurper les catégories de « Zone Internet » afin de diminuer les mécanismes de protection du navigateur.

Les cinquième et sixième vulnérabilités sont des variantes de celles décrites dans l'avis CERTA-2001-AVI-163 et concernent la mauvaise gestion des en-têtes des fichiers liés aux pages HTLM.

Solution

Télécharger le correctif sur le site Microsoft :

http://www.microsoft.com/windows/ie/downloads/critical/Q321232/default.asp

Documentation