S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 13 mai 2002 No CERTA-2002-AVI-097

Affaire suivie par :

CERTA

Objet : Vulnérabilité du contrôle ActiveX MSN Chat

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Execution de code arbitraire à distance.

2 Systèmes affectés

• Microsoft MSN Chat control ;
• Microsoft MSN Messenger version 4.6 et précédentes ;
• Microsoft Exchange Instant Messenger version 4.6 et précédentes.

3 Résumé

Une vulnérabilité a été découverte dans le contrôle ActiveX MSN Chat.

4 Description

MSN Chat est un contrôle ActiveX qui permet à des groupes d'utilisateurs de discuter en ligne dans un espace virtuel. Une vulnérabilité a été découverte dans l'une des fonctions qui gèrent les paramètres d'entrée de ce contrôle ActiveX. Un utilisateur mal intentionné peut exploiter cette faille afin d'exécuter du code arbitraire à distance avec les droits de l'utilisateur courant via un site web ou bien un email au format HTML.

5 Solution

Se référer au bulletin Microsoft MS02-022 (cf. Documentation) pour la disponibilité des correctifs.

6 Documentation

Bulletin MS02-022 de Microsoft :

http://www.microsoft.com/technet/security/bulletin/MS02-022.asp

Gestion détaillée du document

13 mai 2002

version initiale.