ALERTE VULNERABILITE - Internet Explorer
Date : lundi 06 novembre 2006 @ 11:54:07 :: Sujet : Infos, News
ALERTE VULNERABILITE - Vulnérabilité non corrigée (0day XMLHTTP ActiveX) dans Microsoft Windows
Des attaques localisées ont été menées sur Internet à l'aide d'un code d'exploitation concernant une vulnérabilité non corrigée sur le contrôle ActiveX XMLHTTP 4.0 livré avec les systèmes Microsoft Windows.
Une vulnérabilité d'exécution de code liée au traitement d'arguments invalides par la méthode "setRequestHeader()" a été découverte au sein du contrôle ActiveX XMLHTTP 4.0 livré par Microsoft XML Core Services 4.0 sur les systèmes Windows.
Un attaquant peut alors créer une page Web malicieuse, qui, à sa lecture par Internet Explorer, permettra d'exécuter du code arbitraire avec les droits de l'utilisateur.
Sont vulnérables : Microsoft Windows 2000 SP4 Microsoft Windows XP SP2 Microsoft Windows Server 2003 Microsoft Windows Server 2003 SP1
Solutions : Les systèmes Microsoft Windows Server 2003 et Windows Server 2003 Service Pack 1 configurés par défaut ("Enhanced Security Configuration" activé) ne sont pas vulnérables.
Comme solution temporaire, il est possible d'interdire l'instanciation du contrôle ActiveX en modifiant la base de registre afin de placer un "kill bit". Pour cela placer la valeur "0x00000400" dans la clé suivante : HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerActiveX Compatibility{88d969c5-f192-11d4-a65f-0040963251e5}
Il est également possible de limiter l'exécution des ActiveX et de l'Active Scripting, ou de demander préalablement l'accord à l'utilisateur, selon les configurations des zones de sécurité d'Internet Explorer.
source : Lexsi
|