S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 30 mai 2003 No CERTA-2003-AVI-092

Affaire suivie par :

CERTA

Objet : Correctif cumulatif pour Internet Information Server

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire à distance ;
• déni de service ;
• Cross Site Scripting.

2 Systèmes affectés

• Microsoft Internet Information Server 4.0 ;
• Microsoft Internet Information Server 5.0 ;
• Microsoft Internet Information Server 5.1.

Nota : La version 6.0 n'est pas concerné par ce correctif.

3 Résumé

Microsoft a publié un correctif cumulatif pour Internet Information Server (IIS).

4 Description

Ce correctif concerne des vulnérabilités présentes dans plusieurs versions de Microsoft Internet Information Server, permettant à un utilisateur distant mal intentionné d'exécuter du code arbitraire, d'effectuer des dénis de service ou bien d'exploiter des vulnérabilités de type "Cross Site Scripting" (cf. bulletin d'information CERTA-2002-INF-001).

5 Solution

Se référer au bulletin de sécurité Microsoft (section Documentation) afin d'obtenir la liste des correctifs.

6 Documentation

Bulletin de sécurité MS03-018 :

http://www.microsoft.com/technet/security/bulletin/MS03-018.asp

Bulletin d'information CERTA-2002-INF-001 "Cross Site Scripting" :

http://www.certa.ssi.gouv.fr/site/CERTA-2002-INF-001/

Références CVE :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0223

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0224

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0225

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0226

Gestion détaillée du document

30 mai 2003

version initiale.