S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

Paris, le 12 mai 2005
N^o CERTA-2005-ALE-003-001

Affaire suivie par :

CERTA

BULLETIN D'ALERTE DU CERTA

Objet : Multiples vulnérabilités de Firefox

Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2005-ALE-003

Gestion du document

Tableau 1: Gestion du document

Référence	CERTA-2005-ALE-003-001
Titre	Multiples vulnérabilités de Firefox
Date de la première version	09 mai 2005
Date de la dernière version	12 mai 2005
Source(s)
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance ;
élévation de privilèges.

2 Systèmes affectés

Firefox version 1.0.3 et versions antérieures.

3 Résumé

Selon le site de l'éditeur dans une annonce du 8 mai 2005, deux vulnérabilités dans Firefox permettent à un utilisateur mal intentionné d'exécuter du code arbitraire à distance.

4 Description

La première vulnérabilité perment à un utilisateur mal intentionné d'exécuter du code à travers un script en javascript malicieusement écrit, via un site internet judicieusement construit ;
la deuxième vulnérabilité permet, quant à elle, à un utilisateur mal intentionné d'exécuter du code arbitraire avec des privilèges plus élevés.

Une combinaison de ces deux vulnérabilités permet à un utilisateur mal intentionné d'éxécuter du code arbitraire à distance.

Ces vulnérabilités sont actuellement exploites sur l'Internet.

5 Contournement provisoire

Désactiver la prise en charge des javascripts ;
désactiver l'installation d'extensions par des sites web.

6 Solution

La version 1.0.4 corrige ces vulnérabilités.

7 Documentation

Site Internet de l'éditeur :
```
http://www.mozilla.org
```

Annonce de l'éditeur du 8 mai 2005 :

http://www.mozilla.org/security/#Security_Alerts

Bulletin de sécurité Mozilla Foundation #2005-42 du 11 mai 2005 :
```
http://www.mozilla.org/security/announce/mfsa2005-42.html
```

Gestion détaillée du document

09 mai 2005: version initiale.
12 mai 2005: première révision : ajout de la solution.

CERTA
2012-01-04