S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 28 janvier 2002 No CERTA-2002-AVI-014

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans les cookies sous Netscape et Mozilla

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Vol de cookies ;
• divulgation de données personnelles ;
• usurpation d'identité.

2 Systèmes affectés

Netscape 6.x et Mozilla versions 0.9.5 et antérieures.

3 Résumé

Un utilisateur mal intentionné peut lire les cookies présents sur une machine distante.

4 Description

Un administrateur de site web mal intentionné peut, par le biais d'une URL habilement conçue (placée dans un courrier éléctronique écrit au format HTML ou sur une page web), lire des cookies qui ne sont pas destinés à son site web.

5 Contournement provisoire

• Si possible, le format HTML ne doit pas être interprété par le logiciel de messagerie.
• Désactiver les cookies pour la navigation quand ils ne sont pas nécessaires (c'est à dire la plupart du temps).

6 Solution

• Passer à la version 6.21 de Netscape :

  http://home.netscape.com/computing/download/index.html
  

• Passer à la version 0.9.7 de Mozilla :

  http://www.mozilla.org/releases/
  

7 Documentation

Notes de sécurité de Netscape :

http://home.netscape.com/security/

Gestion détaillée du document

28 janvier 2002

version initiale.