S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 13 août 2008 No CERTA-2008-AVI-412

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans Internet Explorer

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

• Internet Explorer 5.01 pour Windows ;
• Internet Explorer 6 pour Windows ;
• Internet Explorer 7 pour Windows.

3 Résumé

4 Description

• certaines (CVE-2008-2254, CVE-2008-2255, CVE-2008-2257 et CVE-2008-2258), concernent l'accès dans certaines conditions à des zones de la mémoire non-initialisées ;
• une autre (CVE-2008-2256), concerne l'accès à des objets supprimés ou non-initialisés ;
• une dernière (CVE-2008-2259), affecte la fonctionnalité aperçu avant l'impression et consiste en une mauvaise gestion de la validation de certains arguments.

Toutes ces vulnérabilités peuvent être exploitées à distance par une personne malveillante pour exécuter du code arbitraire par le biais d'une page Web spécifiquement conçue.

Bien que ces vulnérabilités soient corrigées, il est bon de rappeler qu'utiliser un compte n'ayant pas des droits d'administration limite l'impact de l'exploitation de ces vulnérabilités.

5 Solution

6 Documentation

• Bulletin de sécurité Microsoft MS08-045 du 12 août 2008 :

  http://www.microsoft.com/france/technet/security/Bulletin/MS08-045.mspx
  

  http://www.microsoft.com/technet/security/Bulletin/MS08-045.mspx
  

• Référence CVE CVE-2008-2254 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2254
  

• Référence CVE CVE-2008-2255 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2255
  

• Référence CVE CVE-2008-2256 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2256
  

• Référence CVE CVE-2008-2257 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2257
  

• Référence CVE CVE-2008-2258 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2258
  

• Référence CVE CVE-2008-2259 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-2259
  

Gestion détaillée du document

13 août 2008

version initiale.