S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 17 juillet 2003
N° CERTA-2003-AVI-113
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité dans ISA Server

Gestion du document

Référence CERTA-2003-AVI-113
Titre Vulnérabilité dans ISA Server
Date de la première version17 juillet 2003
Date de la dernière version17 juillet 2003
Source(s) Bulletin de sécurité #MS03-028 de Microsoft
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire

Systèmes affectés

  • Microsoft Internet Security and Acceleration (ISA) Server 2000.

Résumé

Des vulnérabilités de type cross-site scripting sont présentes dans plusieurs pages retournées par le server ISA lors de certaines erreurs spécifiques.

Description

Microsoft ISA (Internet Security and Acceleration) Server 2000 est un garde-barrière ainsi qu'un serveur mandataire. Il permet notamment de filtrer le trafic au niveau applicatif.

La fonction homepage() dans plusieurs pages d'erreur de ISA Server ne code pas correctement les URL en texte HTML.

Un utilisateur mal intentionné peut exploiter cette vulnérabilité afin d'exécuter du code arbitraire sur un poste client accédant au server ISA vulnérable au travers de son navigateur (vulnérabilité de type cross-site scripting).

Solution

Appliquer le correctif fourni par Microsoft (cf. Documentation).

Documentation

Gestion détaillée du document

    le 17 juillet 2003
    version initiale.