S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 17 mai 2006 No CERTA-2006-AVI-202

Affaire suivie par :

CERTA

Objet : Vulnérabilité du contrôle ActiveX i-Nav de Verisign

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

Internet Explorer, Outlook et Outlook Express avec le greffon I-Nav de Verisign.

3 Résumé

Une mauvaise validation dans le contrôle ActiveX I-Nav permet à un utilisateur mal intentionné de faire exécuter du code arbitraire aux visiteurs d'un site web sous son contrôle.

4 Description

I-Nav est un contrôle ActiveX rajoutant le support des noms de domaines internationaux (IDN - « Internationalized Domain Names »). Ceci permet d'avoir des noms de domaines qui ne sont plus limités à l'ASCII 7 bits mais utilisant divers alphabets, et en particulier les caractères accentués dans le cas du français. Verisign a développé un greffon pour ajouter le support IDN à Internet Explorer, Outlook et Outlook Express. Une absence de vérification dans une fonction du contrôle permet de faire exécuter du code arbitraire, dans le cas où l'utilisateur mal intentionné a réussit à emmener sa victime sur son site malveillant.

5 Solution

Se référer au site de l'éditeur pour l'obtention d'une version corrigée (cf. section Documentation).

6 Documentation

• Site internet de i-Nav :

  http://www.idnnow.com
  

• Bulletin de sécurité Zero Day Initiative ZDI-06-014 :

  http://www.zerodayinitiative.com/advisories/ZDI-06-014.html
  

• Référence CVE CVE-2006-2273 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-2273
  

Gestion détaillée du document

17 mai 2006

version initiale.