Risque
- Déni de service à distance ;
- injection de code indirecte à distance.
Systèmes affectés
- Microsoft Forefront Management Gateway, Medium Business Edition ;
- Microsoft Internet Security and Acceleration Server 2004 Standard Edition Service Pack 3 ;
- Microsoft Internet Security and Acceleration Server 2004 Enterprise Edition Service Pack 3 ;
- Microsoft Internet Security and Acceleration Server 2006 ;
- Microsoft Internet Security and Acceleration Server 2006 Support Update ;
- Microsoft Internet Security and Acceleration Server 2006 Service Pack 1.
Résumé
Plusieurs vulnérabilités présentes dans Microsoft ISA Server et Microsoft Forefront Management Gateway permettent à un utilisateur distant de provoquer un déni de service ou de réaliser des attaques de type injection de code indirecte (Cross-site Scripting).
Description
Deux vulnérabilités sont présentes dans Microsoft ISA Server et Microsoft Forefront Management Gateway :
- la première est relative à une erreur dans la gestion des états TCP par le pare-feu pour les services Web proxy et Web publishing. Elle permet à un utilisateur distant de provoquer un déni de service (CVE-2009-0077) ;
- la seconde concerne une erreur dans les formulaires HTML d'authentification de ISA Server et Forefront TMG. Elle permet à un utilisateur distant de réaliser des attaques de type injection de code indirecte (Cross-site Scripting) (CVE-2009-0237).
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Microsoft M09-016 du 14 avril 2009 :
http://www.microsoft.com/france/technet/security/Bulletin/M09-016.mspx
http://www.microsoft.com/technet/security/Bulletin/M09-016.mspx
- Référence CVE CVE-2009-0077 :
https://www.cve.org/CVERecord?id=CVE-2009-0077
- Référence CVE CVE-2009-0237 :
https://www.cve.org/CVERecord?id=CVE-2009-0237
