Risque

Accès en lecture aux données de l'utilisateur depuis un poste distant.

Systèmes affectés

Netscape Navigator toutes versions et Communicator 4.74 et inférieures si java est activé. Vulnérabilité indépendante du système d'exploitation.

Résumé

Une vulnérabilité de la machine virtuelle java (java Virtual Machine) a été découverte sur Netscape Navigator et Communicator. Elle permet à un serveur web hostile de démarrer un processus serveur à l'insu de l'utilisateur qui navigue sur ce site. Ce processus permet à n'importe quel navigateur web de lire toutes les données locales accessibles par l'utilisateur connecté.

Description

Un administrateur mal intentionné ayant déposé sur son site web une applet java peut lire le contenu du disque des utilisateurs possédant Netscape Navigator ou Communicator et ayant activé java. Ceci n'est possible que si l'utilisateur se connecte au site hostile et si java est activé.

L'applet java exécutée par le client parcourant le site hostile le transforme alors en serveur web rendant toutes les données auxquelles l'utilisateur à accès, y compris celles situées sur des répertoires ou disques réseaux, visibles par internet.

De nombreuses exploitations ont déjà été diffusées sur internet.

Il n'est pas exclus que des adaptations soient développées sous tout navigateur, et avec toutes sortes de langages, notamment ActiveX pour Internet Explorer ou Visual Basic, ou étendu aux mails aux formats HTML.

Contournement provisoire

Tout site doit avoir un garde-barrière, la configuration de ce garde-barrière doit interdire les connexions vers les machines protégées. En d'autre terme les client du site protégé ne peuvent pas être des serveurs vers internet grâce aux règles du garde-barrière.

Il est donc important de ne pas naviguer depuis un serveur, car il n'est pas protégé par le garde-barrière.

Le port d'écoute du serveur peut être déterminé par l'administrateur mal intentionné, il n'est donc pas prévisible.

Cette mesure ne protègera pas contre une attaque de l'intérieur.

Solution

Il n'y a pas de correctif actuellement disponible.

Désactiver Java du navigateur web.

Pour prévenir toute évolution, désactiver aussi ActiveX des navigateurs Internet Explorer.

Documentation