S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 09 juillet 2004 No CERTA-2004-AVI-232

Affaire suivie par :

CERTA

Objet : Vulnérabilité de la suite Mozilla sous Windows XP

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire.

2 Systèmes affectés

Seule la plate-forme Windows XP est affectée par cette vulnérabilité.

Les versions suivantes des applications de la suite Mozilla sont vulnérables :

• Mozilla 0.x ;
• Mozilla 1.0 à 1.7 incluses ;
• Mozilla Firefox versions 0.9.1 et antérieures ;
• Mozilla Thunderbird versions 0.7.1 et antérieures.

3 Résumé

Une vulnérabilité dans les applications de la suite Mozilla permet à un utilisateur mal intentionné d'exécuter du code arbitraire sur une machine vulnérable.

4 Description

Une mauvaise gestion du protocole shell: par les applications de la suite Mozilla permet à un utilisateur mal intentionné de lancer des applications via un site web malicieusement construit.

Les programmes lancés par la fonctionnalité shell: ne pourront pas recevoir de paramètres, mais s'ils présentent une erreur ou une vulnérabilité, il sera alors possible d'exécuter du code arbitraire.

5 Solution

Appliquer les correctifs proposés par Mozilla (cf. section Documentation) ou mettre à jour les applications Mozilla.

Les versions suivantes corrigent la vulnérabilité :

• Mozilla 1.7.1 ;
• Mozilla Firefox 0.9.2 ;
• Mozilla Thunderbird 0.7.2.

6 Documentation

• Site web de la fondation Mozilla :

  http://www.mozilla.org
  

• Bulletin de sécurité de Mozilla sur le protocole "shell:" du 08 juillet 2004 :

  http://www.mozilla.org/security/shell.html
  

Gestion détaillée du document

09 juillet 2004

version initiale.