S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 28 mars 2007 No CERTA-2007-AVI-146

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Firefox

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Contournement de la politique de sécurité.

2 Systèmes affectés

• Firefox 1.5.0.10 et versions antérieures ;
• Firefox 2.0.0.2 et versions antérieures.

3 Résumé

Une vulnérabilité dans le navigateur Internet Mozilla Firefox permet à un utilisateur malintentionné de contourner la politique de sécurité du réseau.

4 Description

Une vulnérabilité présente dans la gestion de la commande PASV durant une connexion FTP (File Transfer Protocol) permet à un utilisateur, à l'aide de code javascript, de réaliser un balayage de ports sur le réseau depuis le système vulnérable.

5 Solution

Appliquer la mise à jour de sécurité Firefox en passant à la version 2.0.0.3 ou 1.5.0.11 disponibles à l'adresse suivante :

http://www.getfirefox.com/

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Mozilla mfsa 2007-11 du 20 mars 2007 :

  http://www.mozilla.org/security/announce/2007/mfsa2007-11.html
  

• Bulletin de sécurité Ubuntu USN-443-1 du 27 mars 2007 :

  http://www.ubuntulinux.org/usn/usn-443-1
  

• Référence CVE CVE-2007-1562 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1562
  

Gestion détaillée du document

28 mars 2007

version initiale.