S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 05 septembre 2002 No CERTA-2002-AVI-201

Affaire suivie par :

CERTA

Objet : Exécution à distance de Visual FoxPro 6.0 ou des documents associés

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

Microsoft Windows avec Visual FoxPro 6.0 installé.

3 Résumé

Un utilisateur mal intentionné peut lancer à distance le logiciel Visual FoxPro 6.0 (s'il est installé sur la machine cible) ainsi qu'une application qui y est associée au moyen d'une page HTML habilement conçue.

4 Description

Il est possible, lors de l'installation d'un logiciel sur le système Windows, d'indiquer la façon dont Internet Explorer traitera les applications qui y sont associées. Lors de son installation, Visual FoxPro 6.0 n'indique pas à Internet Explorer la façon dont seront traités les fichiers qui lui sont associés (extension en .app).

Par conséquent, il est possible de lancer automatiquement Visual FoxPro 6.0, voire d'exécuter un fichier dont l'extension est .app au moyen d'un fichier HTML habilement conçu (dans un message au format HTML ou sur un serveur web malicieux par exemple).

5 Solution

Appliquer le correctif comme indiqué dans le bulletin de sécurité MS02-049 de Microsoft (consulter le paragraphe Documentation).

6 Documentation

Bulletin de sécurité MS02-049 de Microsoft :

http://www.microsoft.com/technet/security/bulletin/MS02-049.asp

Gestion détaillée du document

05 septembre 2002

version initiale.