L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base et des outils pour y remédier.

Vulnérabilités informatiques de Psi

alerte de vulnérabilité informatique 11046

Psi IM : usurpation de certificat via QLabel

Synthèse de la vulnérabilité

Un attaquant peut employer un certificat X.509 avec un Common Name illicite, afin de tromper la victime utilisant Psi.
Produits concernés : Fedora, Psi.
Gravité : 1/4.
Conséquences : camouflage.
Provenance : document.
Confiance : confirmé par l'éditeur (5/5).
Date création : 10/10/2011.
Références : BID-50927, FEDORA-2011-16476, FEDORA-2011-16488, NDSA20111003, VIGILANCE-VUL-11046.

Description de la vulnérabilité

La bibliothèque graphique Qt utilise les objets QLabel, afin d'afficher une zone de texte.

Le format du texte est défini dans l'énuméré ("enum") Qt::TextFormat :
 - Qt::PlainText : texte pur
 - Qt::RichText : texte complexe (table, cadre, liste, etc.)
 - Qt::AutoText : autodétection de PlainText ou RichText
Par défaut, QLabel utilise le format Qt::AutoText, c'est-à-dire qu'il analyse le contenu pour déterminer comment l'afficher.

Le logiciel Psi emploie un QLabel pour afficher le Common Name d'un certificat X.509. Cependant, le format par défaut AutoText est employé (au lieu de PlainText). Si le Common Name contient une table en RichText, sa deuxième ligne est alors affichée au dessus du champ.

Un attaquant peut donc employer un certificat X.509 avec un Common Name illicite, afin de tromper la victime utilisant Psi.

Cette vulnérabilité a la même origine que VIGILANCE-VUL-11028.
Bulletin Vigil@nce complet.... (Essai gratuit)
Notre base de données contient d'autres bulletins. Vous pouvez utiliser un essai gratuit pour les consulter.

Consulter les informations sur Psi :