Bulletin d'alerte du CERT-FR
Objet : Vulnérabilité dans Microsoft Internet Explorer
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Injection de code indirecte à distance
Systèmes affectés
- Internet Explorer version 10
- Internet Explorer version 11
Résumé
Une vulnérabilité référencée par l'identifiant CVE-2015-0072, a été découverte dans Microsoft Internet Explorer. Elle permet à un attaquant de contourner la politique dite Same Origin Policy et d'exécuter du code JavaScript malveillant via le chargement d'une page HTML.
3 -.1 Fonctionnement de l'attaque
La politique SOP (Same Origin Policy) est mise en place pour éviter que des scripts malveillants puissent accéder aux données présentes sur d'autres domaines, notamment aux cookies HTTP permettant de maintenir les sessions authentifiées.
L'exploitation de cette vulnérabilité permet de contourner cette protection et donc d'exécuter du code JavaScript dans le contexte d'une page tierce telle qu'une application métier, un site bancaire, ou tout autre application sensible.
3 -.2 Scénarios possibles d'attaque
Cette vulnérabilité est susceptible d'être mise en oeuvre lors de tentatives d'hameçonnage ou lors d'attaques par point d'eau.
3 -.3 Risques encourus
Les risques encourus sont similaires à ceux liés aux attaques de type injection de code indirecte (XSS). En particulier, l'exploitation de cette vulnérabilité peut permettre de récupérer les cookies envoyés par le navigateur pour usurper une session authentifiée.
Se référer à la note d'information CERTA-2002-INF-001-001 pour plus de détails.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Microsoft MS15-018 du 10 Mars 2015
https://technet.microsoft.com/library/security/ms15-018 -
Mitigating Cross-site Scripting With HTTP-only Cookies
https://msdn.microsoft.com/en-us/library/ms533046.aspx -
Mitigating framesniffing with the X-Frame-Options header
https://support.microsoft.com/kb/2694329 -
Note d'information : vulnérabilité de type Cross Site Scripting (XSS)
/site/CERTA-2002-INF-001/CERTA-2002-INF-001.html -
Recommandations pour le déploiement sécurisé du navigateur Google Chrome sous Windows
http://www.ssi.gouv.fr/fr/guides-et-bonnes-pratiques/recommandations-et-guides/securite-du-poste-de-travail-et-des-serveurs/recommandations-pour-le-deploiement-securise-du-navigateur-google-chrome-sous.html -
Recommandations pour le déploiement sécurisé du navigateur Mozilla Firefox sous Windows
http://www.ssi.gouv.fr/fr/guides-et-bonnes-pratiques/recommandations-et-guides/securite-du-poste-de-travail-et-des-serveurs/recommandations-pour-le-deploiement-securise-du-navigateur-mozilla-firefox-sous.html -
Universal XSS vulnerability discovered in Microsoft Internet Explorer
http://www.symantec.com/connect/blogs/universal-xss-vulnerability-discovered-microsoft-internet-explorer -
Référence CVE CVE-2015-0072
https://www.cve.org/CVERecord?id=CVE-2015-0072
Gestion détaillée du document
| Date | Description |
|---|---|
| 10 février 2015 | version initiale ; |
| 31 mars 2015 | fermeture de l'alerte suite à la publication d'un correctif par l'éditeur. |