Risque
Exécution de code arbitraire à distance.
Systèmes affectés
- Microsoft Internet Explorer versions 5.01, 5.5 et 6.0 ;
- Microsoft Internet Explorer version 6.0 pour Windows Server 2003.
Résumé
Trois vulnérabilités présentes dans Microsoft Internet Explorer peuvent être exploitées au moyen d'un site web ou d'un message électronique au format HTML habilement constitué et permettre ainsi à un utilisateur mal intentionné d'exécuter du code arbitraire sur la plate-forme vulnérable.
Description
- Première vulnérabilité (CVE CAN-2003-0352) : Internet Explorer ne contrôle pas correctement le type de données spécifié dans l'attribut data de la balise object ;
- seconde vulnérabilité (CVE CAN-2003-0351) : lors de l'accès aux données du cache, il est possible de contourner le cloisonnement mis en place au moyen des zones de sécurité au niveau d'Internet Explorer ;
- troisième vulnérabilité (CVE CAN-2003-0350) : le contrôle ActiveX BR549.DLL présente une faille de type débordement de mémoire. Ce contrôle ActiveX est désactivé automatiquement lors de l'application du correctif.
Solution
Appliquer le correctif de l'éditeur :
http://www.microsoft.com/technet/security/bulletin/MS03-032.asp
Documentation
- Référence CVE CAN-2003-0350 :
https://www.cve.org/CVERecord?id=CAN-2003-0350
- Référence CVE CAN-2003-0351 :
https://www.cve.org/CVERecord?id=CAN-2003-0351
- Référence CVE CAN-2003-0352 :
https://www.cve.org/CVERecord?id=CAN-2003-0352
- Bulletin de sécurité "Internet Explorer Object Data Remote Execution Vulnerability" de eEye :
http://www.eeye.com/html/Research/Advisories/AD20030820.html
