Risques
- Accès aux données de l'utilisateur
- Contournement des mécanismes de protection
- Exécution de code arbitraire
- Vulnérabilité de type "cross site scripting" (cf. note d'information certa-2002-inf-001)
Systèmes affectés
- Microsoft Internet Explorer 5.01 ;
- Microsoft Internet Explorer 5.5 ;
- Microsoft Internet Explorer 6.0.
Résumé
Plusieurs vulnérabilités ont été mises en évidence dans le logiciel Internet Explorer de Microsoft.
Description
La première vulnérabilité, de type « Cross Site Scripting », permet d'exécuter du code arbitraire avec des droits privilégiés par rapport à la « Zone Internet ».
La seconde vulnérabilité permet à un concepteur de site mal intentionné, par le biais de feuilles de style judicieusement composées, de lire les données locales de la machine parcourant ce site
La troisième vulnérabilité permet, par le biais de scripts contenus dans des « cookies », d'accèder aux informations contenues dans les autres « cookies » de la machine cible.
La quatrième vulnérabilité permet à un concepteur de site d'usurper les catégories de « Zone Internet » afin de diminuer les mécanismes de protection du navigateur.
Les cinquième et sixième vulnérabilités sont des variantes de celles décrites dans l'avis CERTA-2001-AVI-163 et concernent la mauvaise gestion des en-têtes des fichiers liés aux pages HTLM.
Solution
Télécharger le correctif sur le site Microsoft :
http://www.microsoft.com/windows/ie/downloads/critical/Q321232/default.asp
Documentation
- Avis CERTA-AVI-2001-163 : http://www.certa.ssi.gouv.fr/site/CERTA-2001-AVI-163/index.html
- Bulletin Microsoft : http://www.microsoft.com/technet/security/bulletin/MS02-023.asp
- Note d'information CERTA-2002-INF-001 : http://www.certa.ssi.gouv.fr/site/CERTA-2002-INF-001/index.html
