L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Netscape Communicator

avis de vulnérabilité informatique CVE-2009-0652

HTTPS : attaque man-in-the-middle en utilisant http, SSLstrip

Synthèse de la vulnérabilité

Un attaquant situé en man-in-the-middle peut tromper la victime, afin qu'elle se connecte sur un site http au lieu de https (HTTP sur SSL).
Produits concernés : Maxthon, IE, Firefox, SeaMonkey, Mozilla Suite, Netscape Navigator, NLD, OES, openSUSE, Opera, SSL/TLS, RHEL, SLES.
Gravité : 2/4.
Date création : 19/02/2009.
Références : BID-33837, CVE-2009-0652, RHSA-2009:0436-02, RHSA-2009:0437-02, SUSE-SR:2009:010, VIGILANCE-VUL-8479.

Description de la vulnérabilité

Le protocole SSL (utilisé pour les urls de type "https://") est conçu pour empêcher le succès des attaques man-in-the-middle. En effet, si l'attaquant est situé entre le client et le serveur web, le certificat présenté au client n'est plus valide, et un message d'erreur s'affiche dans son navigateur web.

Si l'attaquant est situé en man-in-the-middle il peut intercepter les sessions "http://". L'attaquant peut alors remplacer toutes les urls https par des urls http créées à la volée. Par exemple, si un document contient un lien vers :
  https://www.example.com/auth
l'attaquant peut remplacer ce lien par :
  http://www.example.com/auth-
Lorsque la victime clique sur ce lien (http://www.example.com/auth-), l'attaquant se connecte sur le serveur https (https://www.example.com/auth) pour obtenir le contenu réel de la page, et retourne cette page au client dans la session http. Certaines victimes ne se rendent alors pas compte qu'elles ne sont pas passées dans une session https, et peuvent saisir leur mot de passe.

De plus, si l'attaquant dispose d'un certificat wildcard (*.attaquant.com) valide, il peut employer un caractère homographe du slash (représenté en "[/]" ci-après, comme 0x2044, 0x2215 ou 0x3033), afin de créer l'url suivante, au lieu d'utiliser une url http :
  https://www.example.com[/]auth.attaquant.com
Dans ce cas, un site https est réellement utilisé, et un cadenas apparaît, ce qui rend l'attaque plus difficilement détectable.

Un attaquant situé en man-in-the-middle peut donc tromper la victime, afin qu'elle se connecte sur un site http au lieu de https (HTTP sur SSL).
Bulletin Vigil@nce complet.... (essai gratuit)

alerte de vulnérabilité CVE-2004-2761

SSL : création de fausse autorité de certification

Synthèse de la vulnérabilité

Un attaquant, disposant de ressources importantes, peut créer une fausse autorité de certification intermédiaire utilisant un hachage MD5.
Produits concernés : ASA, IOS Cisco, Cisco Router xx00 Series, Fedora, Notes, Maxthon, IE, Windows (plateforme), Firefox, SeaMonkey, Mozilla Suite, Netscape Navigator, Opera, RHEL, Unix (plateforme).
Gravité : 1/4.
Date création : 16/01/2009.
Références : 17341, BID-33065, CSCsw88068, CSCsw90626, CVE-2004-2761, FEDORA-2009-1276, FEDORA-2009-1291, RHSA-2010:0837-01, RHSA-2010:0838-01, VIGILANCE-VUL-8401, VU#836068.

Description de la vulnérabilité

Fin 2008 (VIGILANCE-ACTU-1377), en utilisant un cluster de 200 consoles de jeux, des chercheurs ont utilisé une collision sur MD5, afin de créer une fausse autorité de certification, reconnue par tous les navigateurs web.

Voici le principe de fonctionnement de cette attaque :
 - L'attaquant choisit une Autorité de Certification (AC) utilisant des signatures MD5 (RapidSSL, FreeSSL, TC TrustCenter AG, RSA Data Security, Thawte, verisign.co.jp).
 - L'attaquant demande un certificat pour site web à cette AC. Ce certificat d'origine est donc signé par MD5.
 - L'attaquant modifie ce certificat pour le transformer en Autorité de Certification Intermédiaire (ACI), puis utilise une collision MD5 afin que ce faux certificat ait la même signature MD5 que le certificat d'origine.
 - L'attaquant utilise l'ACI pour générer un certificat de Site Web (SW).
 - L'attaquant met en place un site web illicite, proposant les certificats du SW et de l'ACI.
 - La victime se connecte sur ce site web. Son navigateur web contient le certificat racine de l'AC, qui authentifie l'ACI et ensuite le SW.

Aucun message d'erreur ne s'affiche dans le navigateur de la victime, qui peut alors faire confiance au site de l'attaquant.
Bulletin Vigil@nce complet.... (essai gratuit)

bulletin de vulnérabilité informatique CVE-2008-0412 CVE-2008-0413 CVE-2008-0414

Firefox : multiples vulnérabilités

Synthèse de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Firefox, dont la plus grave permet d'exécuter du code avec les droits de l'utilisateur.
Produits concernés : Debian, Fedora, Mandriva Corporate, Mandriva Linux, Firefox, Netscape Navigator, NLD, OpenSolaris, openSUSE, Solaris, RHEL, Slackware, SLES, TurboLinux.
Gravité : 4/4.
Date création : 08/02/2008.
Références : 238492, 6663845, 6681417, 6695896, BID-24293, BID-26669, BID-27406, BID-27683, BID-29303, CERTA-2008-AVI-062, CERTA-2008-AVI-101, CVE-2007-3090-ERROR, CVE-2008-0412, CVE-2008-0413, CVE-2008-0414, CVE-2008-0415, CVE-2008-0416, CVE-2008-0417, CVE-2008-0418, CVE-2008-0419, CVE-2008-0420, CVE-2008-0591, CVE-2008-0592, CVE-2008-0593, CVE-2008-0594, DSA-1484-1, DSA-1489-1, DSA-1506-1, FEDORA-2008-1435, FEDORA-2008-1459, FEDORA-2008-1535, FEDORA-2008-1669, MDVSA-2008:048, MFSA 2008-01, MFSA 2008-02, MFSA 2008-03, MFSA 2008-04, MFSA 2008-05, MFSA 2008-06, MFSA 2008-07, MFSA 2008-08, MFSA 2008-09, MFSA 2008-10, MFSA 2008-11, MFSA 2008-13, RHSA-2008:0103-01, SSA:2008-043-01, SUSE-SA:2008:008, TLSA-2008-9, VIGILANCE-VUL-7558, VU#309608, VU#879056.

Description de la vulnérabilité

Plusieurs vulnérabilités de Firefox ont été annoncées.

Plusieurs corruptions de mémoire peuvent conduire à l'exécution de code. [grav:4/4; CERTA-2008-AVI-062, CERTA-2008-AVI-101, CVE-2008-0412, CVE-2008-0413, MFSA 2008-01]

Un attaquant peut créer une page spéciale, et inviter l'utilisateur à saisir des caractères puis à presser sur un bouton, pour faire uploader un fichier (VIGILANCE-VUL-7382). [grav:1/4; BID-26669, CVE-2008-0414, MFSA 2008-02]

Un script JavaScript peut par exemple exécuter du code avec les privilèges chrome. [grav:4/4; CVE-2008-0415, MFSA 2008-03]

Un site web peut injecter des sauts de ligne afin de corrompre la base de données des mots de passe. [grav:1/4; CVE-2008-0417, MFSA 2008-04]

Un attaquant peut employer un uri "chrome://" afin d'accéder aux fichiers Javascript situés sur la machine de la victime (VIGILANCE-VUL-7523). [grav:2/4; BID-27406, CVE-2008-0418, MFSA 2008-05, VU#309608]

Un site utilisant designMode peut obtenir des informations, stopper le navigateur et éventuellement exécuter du code. [grav:3/4; CVE-2008-0419, MFSA 2008-06, VU#879056]

Un attaquant peut créer une image BMP avec un champ biClrUsed de l'entête BITMAPINFOHEADER incorrect afin de lire une portion de la mémoire. [grav:2/4; CVE-2008-0420, MFSA 2008-07]

Un attaquant peut utiliser Javascript pour presser le bouton d'une fenêtre d'avertissement (VIGILANCE-VUL-6883). [grav:2/4; BID-24293, CVE-2007-3090-ERROR, CVE-2008-0591, MFSA 2008-08]

Un attaquant peut employer "Content-Disposition: attachment" et "Content-Type: plain/text" pour perturber la gestion des fichiers texte. [grav:1/4; CVE-2008-0592, MFSA 2008-09]

Un script peut obtenir le contenu de l'url après une redirection 302. [grav:1/4; CVE-2008-0593, MFSA 2008-10]

Une page contenue dans un DIV peut contourner les avertissements de détection d'usurpation ("forgery"). [grav:1/4; CVE-2008-0594, MFSA 2008-11]

Un attaquant peut provoquer plusieurs Cross Site Scripting en modifiant les encodages de caractères. [grav:2/4; BID-29303, CVE-2008-0416, MFSA 2008-13]
Bulletin Vigil@nce complet.... (essai gratuit)

annonce de vulnérabilité 7382

Mozilla, Firefox : lecture de fichier local

Synthèse de la vulnérabilité

Un attaquant peut créer une page spéciale, et inviter l'utilisateur à saisir des caractères puis à presser sur un bouton, pour faire uploader un fichier.
Produits concernés : Firefox, SeaMonkey, Netscape Navigator.
Gravité : 1/4.
Date création : 03/12/2007.
Références : BID-26669, VIGILANCE-VUL-7382.

Description de la vulnérabilité

Une page HTML peut contenir un formulaire ayant un champ de type FILE permettant d'uploader un fichier. Ce champ se compose d'une zone de saisie texte et d'un bouton. En HTML, l'élément LABEL est utilisé pour donner un nom à un champ de formulaire.

Par mesure de sécurité, le code d'une page HTML ne peut pas accéder directement aux champs FILE. Cependant, en englobant ce champ dans un LABEL, l'attaquant peut forcer un changement de focus. La victime peut ainsi saisir un nom de fichier local. Ensuite, en invitant la victime à cliquer sur le bouton, le fichier sera uploadé vers le serveur de l'attaquant.

Cette vulnérabilité permet ainsi à un attaquant d'obtenir un fichier de la machine de l'utilisateur.
Bulletin Vigil@nce complet.... (essai gratuit)

alerte de vulnérabilité informatique CVE-2007-5947 CVE-2007-5959 CVE-2007-5960

Firefox, Seamonkey : multiples vulnérabilités

Synthèse de la vulnérabilité

Plusieurs vulnérabilités ont été annoncées dans Firefox et Seamonkey, dont la plus grave permet d'exécuter du code avec les droits de l'utilisateur.
Produits concernés : Debian, Fedora, HP-UX, Mandriva Corporate, Mandriva Linux, Firefox, SeaMonkey, Netscape Navigator, openSUSE, RHEL, Slackware, TurboLinux.
Gravité : 4/4.
Date création : 27/11/2007.
Références : 369814, 373911, 391028, 393326, 402649, 403331, BID-26385, BID-26589, BID-26593, c00771742, CERTA-2007-AVI-509, CVE-2007-5947, CVE-2007-5959, CVE-2007-5960, CVE-2007-6589, DSA-1424-1, DSA-1425-1, FEDORA-2007-3952, FEDORA-2007-3962, FEDORA-2007-4098, FEDORA-2007-4106, FEDORA-2007-756, HPSBUX02153, MDKSA-2007:246, MFSA2007-37, MFSA2007-38, MFSA2007-39, RHSA-2007:1082-01, RHSA-2007:1083-01, RHSA-2007:1084-01, SSA:2007-331-01, SSA:2007-333-01, SSRT061181, SUSE-SA:2007:066, TLSA-2007-54, VIGILANCE-VUL-7366, VU#715737.

Description de la vulnérabilité

Plusieurs vulnérabilités de Firefox et Seamonkey ont été annoncées.

Un attaquant peut déposer une archive jar sur un site public afin de mener un Cross Site Scripting sur ce site (VIGILANCE-VUL-7326). [grav:4/4; 369814, 403331, BID-26385, CERTA-2007-AVI-509, CVE-2007-5947, CVE-2007-6589, MFSA2007-37, VU#715737]

Trois corruptions de mémoire peuvent être employées pour mener un déni de service ou faire exécuter du code. [grav:4/4; 373911, 391028, 393326, BID-26593, CVE-2007-5959, MFSA2007-38]

Un attaquant peut altérer l'entête HTTP Referer lors de l'affectation de la variable window.location. [grav:4/4; 402649, BID-26589, CVE-2007-5960, MFSA2007-39]
Bulletin Vigil@nce complet.... (essai gratuit)

alerte de vulnérabilité CVE-2007-6591 CVE-2007-6592 CVE-2008-2809

Firefox, Netscape : usurpation via subjectAltName dNSName

Synthèse de la vulnérabilité

Un attaquant peut créer un certificat SSL utilisant l'extension subjectAltName:dNSName afin que le message d'avertissement de nouveau certificat SSL ne soit pas affiché.
Produits concernés : Firefox, SeaMonkey, Mozilla Suite, Netscape Navigator.
Gravité : 1/4.
Date création : 19/11/2007.
Date révision : 20/11/2007.
Références : BID-26501, CVE-2007-6590-REJECT, CVE-2007-6591, CVE-2007-6592, CVE-2008-2809, VIGILANCE-VUL-7351.

Description de la vulnérabilité

La famille d'extensions subjectAltName permet ajouter des informations complémentaires à un certificat X.509.

L'extension subjectAltName:dNSName indique une liste de noms de domaines. Par exemple :
 - subjectAltName:dNSName=www.pageperso.dom
 - subjectAltName:dNSName=www.banque.dom
Le certificat peut alors être utilisé pour les deux domaines.

Ce champ peut contenir "*" ou "*.org" afin d'englober de nombreux noms. [grav:1/4]

Ce champ n'est pas généralement affiché, ce qui peut conduire la victime à accepter un certificat pour "www.pageperso.dom", alors qu'il contient aussi "www.banque.dom". [grav:1/4]

De plus, les navigateurs de la famille Firefox n'associent pas le certificat au site d'origine. Ainsi, l'attaquant peut inviter la victime à accepter le certificat pour un site peu important comme "www.pageperso.dom". Ensuite, l'attaquant peut par exemple employer une attaque DNS pour rediriger la victime vers un faux site "www.banque.dom" ayant le même certificat. Lorsque la victime arrivera sur ce site, aucun message ne l'avertira que le certificat est nouveau. [grav:1/4]

Un attaquant peut ainsi mener des attaques de type hameçonnage.
Bulletin Vigil@nce complet.... (essai gratuit)

annonce de vulnérabilité informatique CVE-2007-5276 CVE-2007-5277

IE, Firefox, Opera : contournement du DNS pinning

Synthèse de la vulnérabilité

Un attaquant peut créer une page HTML contournant la protection DNS pinning mise en place dans les navigateurs web.
Produits concernés : IE, Firefox, SeaMonkey, Netscape Navigator, Opera.
Gravité : 1/4.
Date création : 11/10/2007.
Références : CVE-2007-5276, CVE-2007-5277, VIGILANCE-VUL-7237.

Description de la vulnérabilité

Une attaque de type "DNS rebinding" a pour objectif de forcer le navigateur web à se connecter sur un serveur différent de celui sur lequel est hébergé le document HTML. Cette vulnérabilité permet par exemple de mener un scan de ports ou d'obtenir des informations sans passer par le firewall de l'entreprise.

Le principe courant de cette attaque est le suivant:
 - L'attaquant met en place un serveur DNS pour son domaine "attaquant.dom". Ce serveur répond que l'adresse IP de www.attaquant.dom est 1.2.3.4, avec un TTL de 10 secondes.
 - L'attaquant met en place un serveur web hébergeant une page HTML contenant un script créant une connexion réseau vers le serveur d'origine.
 - L'attaquant invite la victime à se connecter sur son serveur web.
 - Lorsque la victime consulte la page HTML, le script cherche à se connecter sur le serveur : comme le TTL a expiré, le navigateur fait une nouvelle requête DNS. Cependant, cette fois-ci, le serveur DNS de l'attaquant indique que l'adresse IP de www.attaquant.dom est 192.168.1.1.
 - Le script se connecte sur l'adresse 192.168.1.1, qui est une adresse interne.

Pour se protéger face à cette attaque, les navigateurs web implémentent le "DNS pinning" qui consiste à garder les adresses IP en cache quel que soit le TTL. Cependant, plusieurs vulnérabilités permettent de contourner cette protection.

Internet Explorer 7 garde les adresses en cache durant 30 minutes. Cependant, si le serveur DNS de l'attaquant indique plusieurs adresses, et si la première devient injoignable, le cache est purgé. [grav:1/4]

Internet Explorer 6 garde les adresses en cache durant 30 minutes. Cependant, si la page HTML indique de se connecter sur un port injoignable, le cache est purgé. [grav:1/4; CVE-2007-5277]

Firefox garde les adresses en cache durant au plus 2 minutes, ce qui est trop court : un script peut attendre. [grav:1/4]

Internet Explorer 6 garde les adresses en cache durant 12 minutes. Cependant, si la page HTML indique de se connecter sur un port injoignable, le cache est purgé. [grav:1/4; CVE-2007-5276]
Bulletin Vigil@nce complet.... (essai gratuit)

avis de vulnérabilité CVE-2007-4841

Firefox, Thunderbird : exécution de commandes via mailto, nntp, news et snews

Synthèse de la vulnérabilité

Un attaquant peut employer des uri mailto, nntp, news et snews pour exécuter des commandes sous Windows.
Produits concernés : Firefox, SeaMonkey, Mozilla Suite, Thunderbird, Netscape Navigator.
Gravité : 3/4.
Date création : 06/09/2007.
Références : BID-25543, CVE-2007-4841, VIGILANCE-VUL-7154.

Description de la vulnérabilité

Le bulletin VIGILANCE-VUL-7009 décrit une vulnérabilité générique concernant les gestionnaires de protocole sous Windows.

Une nouvelle variante d'attaque a été annoncée. Elle consiste à employer un uri "non attendu". Les détails techniques ne sont pas connus.

Un attaquant peut donc créer une page HTML illicite afin d'exécuter des commandes avec les privilèges de l'utilisateur.
Bulletin Vigil@nce complet.... (essai gratuit)

alerte de vulnérabilité informatique CVE-2007-3844 CVE-2007-3845 CVE-2007-4041

Firefox, SeaMonkey, Thunderbird : exécution de code

Synthèse de la vulnérabilité

Un attaquant peut exploiter deux vulnérabilités dans les produits de la famille Firefox afin de faire exécuter du code.
Produits concernés : Debian, HP-UX, Mandriva Corporate, Mandriva Linux, Firefox, SeaMonkey, Thunderbird, Netscape Navigator, openSUSE, Solaris, Slackware, TurboLinux.
Gravité : 3/4.
Date création : 31/07/2007.
Références : 103177, 201516, 388121, 389106, 6582544, 6619093, BID-25053, BID-25142, c00771742, CERTA-2002-AVI-136, CVE-2007-3844, CVE-2007-3845, CVE-2007-4041, CVE-2007-4042, DSA-1344-1, DSA-1345-1, DSA-1346-1, DSA-1391-1, HPSBUX02153, MDKSA-2007:152, MDVSA-2007:047, MFSA2007-26, MFSA2007-27, SSA:2007-213-01, SSA:2007-215-0, SSA:2007-222-04, SSRT061181, SUSE-SA:2007:057, TLSA-2007-43, VIGILANCE-VUL-7056, VU#403150, VU#783400.

Description de la vulnérabilité

Un attaquant peut exploiter deux vulnérabilités dans les produits de la famille Firefox afin de faire exécuter du code.

Lorsque certains addons créent des fenêtres "about:blank", du code Javascript peut s'exécuter avec des privilèges chrome. [grav:3/4; 388121, BID-25142, CVE-2007-3844, MFSA2007-26]

Sous Windows, lorsque l'utilisateur clique sur une uri mailto, nntp, news ou snews, des programmes externes peuvent être appelés (VIGILANCE-VUL-7037, VIGILANCE-VUL-7039). [grav:3/4; 389106, BID-25053, CVE-2007-3845, CVE-2007-4041, CVE-2007-4042, MFSA2007-27, VU#403150, VU#783400]
Bulletin Vigil@nce complet.... (essai gratuit)

avis de vulnérabilité informatique 7039

Thunderbird : exécution de commandes via mailto, nntp, news et snews

Synthèse de la vulnérabilité

Un attaquant peut employer des uri mailto, nntp, news et snews pour installer un module illicite sous Windows.
Produits concernés : Debian, SeaMonkey, Thunderbird, Netscape Navigator, Slackware.
Gravité : 3/4.
Date création : 26/07/2007.
Références : CERTA-2002-AVI-136, DSA-1345-1, DSA-1346-1, SSA:2007-215-0, SSA:2007-222-04, VIGILANCE-VUL-7039.

Description de la vulnérabilité

Le bulletin VIGILANCE-VUL-7009 décrit une vulnérabilité générique concernant les gestionnaires de protocole sous Windows.

Thunderbird enregistre quatre gestionnaires de protocoles dans la base de registres : mailto, nntp, news et snews.

Ces gestionnaires peuvent être employés pour mettre en oeuvre la vulnérabilité VIGILANCE-VUL-7009 depuis Internet Explorer ou Firefox.

Le principe de cette attaque consiste à installer un module dans Thunderbird.
Bulletin Vigil@nce complet.... (essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.