S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 16 avril 2007
N° CERTA-2007-AVI-175
Affaire suivie par: CERT-FR
le 16 avril 2007

Avis du CERT-FR

Objet: Multiples vulnérabilités dans Opera

Gestion du document

Référence CERTA-2007-AVI-175
Titre Multiples vulnérabilités dans Opera
Date de la première version 16 avril 2007
Date de la dernière version 16 avril 2007
Source(s) Bulletin de version du logiciel Opera
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Atteinte à la confidentialité des données ;
  • contournement de la politique de sécurité ;
  • exécution de code arbitraire à distance.

Systèmes affectés

Navigateur Opera, versions antérieures à la 9.20.

Résumé

Plusieurs vulnérabilités affectent Opera, permettant à un utilisateur malveillant de porter atteinte à la confidentialité des données, de contourner la politique de sécurité ou d'exécuter du code à distance.

Description

Plusieurs vulnérabilités affectent le navigateur Opera :

  • une mauvaise gestion du codage de caractères dans des cadres (frames) différents permettraient de réaliser de l'injection de code indirecte (cross site scripting) ;
  • la gestion du protocole FTP permettraient d'utiliser le navigateur client pour scruter (scan) d'autres serveurs ;
  • des scripts seraient susceptibles de continuer à s'exécuter après que l'utilisateur a quitté la page qui les a lancés.

Sur les plateformes Linux, Solaris et FreeBSD, une vulnérabilité dans Adobe Flash Player engendre un problème de sécurité dans le navigateur Opera.

Solution

Migrer à la version 9.20 du navigateur Opera. De plus, pour les plateformes Linux, Solaris et FreeBSD, passer à la version 9 de Flash Player. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 16 avril 2007
    version initiale.