S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 03 août 2004 No CERTA-2004-AVI-261

Affaire suivie par :

CERTA

Objet : Vulnérabilité des navigateurs Netscape et Mozilla

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire.

2 Systèmes affectés

• Mozilla versions 1.6 et antérieures ;
• Netscape versions 7.x.

3 Résumé

Une vulnérabilité des navigateurs Netscape et Mozilla permet à un utilisateur distant d'exécuter du code arbitraire sur la machine vulnérable.

4 Description

Une vulnérabilité a été découverte dans la gestion du procotole SOAP (Simple Object Access Protocol) par les navigateurs Netscape et Mozilla.

Un utilisateur distant mal intentionné peut exploiter cette vulnérabilité par le biais d'une page HTML habilement forgée pour exécuter du code arbitraire.

5 Contournement provisoire

Désactiver le javascript.

6 Solution

La version 1.7.1 de Mozilla corrige cette vulnérabilité (cf. section Documentation).

Netscape n'a pas fourni d'information concernant cette vulnérabilité.

7 Documentation

• Site web de la fondation Mozilla :

  http://www.mozilla.org
  

• Bulletin de sécurité de iDefense du 02 août 2004 :

  http://www.idefense.com/application/poi/display?id=117
  

• Référence CVE CAN-2004-0722 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0722
  

Gestion détaillée du document

03 août 2004

version initiale.