Avis du CERT-FR

Description

Une vulnérabilité dans la Machine Virtuelle Java de Microsoft Internet Explorer 4.x et 5.x permet à un utilisateur mal intentionné, à l'aide d'un site web habilement conçu, contenant une appliquette java particulière, d'avoir accès en lecture uniquement à tous les fichiers présents sur le disque dur de la machine cliente. Il peut aussi accéder à toutes les données partagées qui sont autorisées pour sa victime dans un intranet, en devinant le chemin d'accès qui est de la forme : \\machine\chemin\fichier.

Contournement provisoire

Désactiver les java, javascripts, comme indiqué dans les bulletins CERTA-2000-AVI-002, CERTA-2000-ALE-001 et CERTA-2000-ALE-002, CERTA-2000-INF-002.

Couper les connections entre l'intranet et les machines ayant accès à internet.

Solution

Une vulnérabilité précédente permettait d'accéder en lecture aux fichiers présents sur le système, en devinant leur chemin d'accès. Peut-être aviez-vous déjà appliquer le correctif correspondant au bulletin de sécurité Microsoft MS00-011 : (

http://www.microsoft.com/technet/security/bulletin/ms00-011.asp

)

Mais celui-ci ne corrige pas la vulnérabilité décrite dans le document. Il faut donc appliquer le nouveau correctif de Microsoft. Il dépend du numéro de construction de la Machine Virtuelle installée sur le système.

Cette vulnérabilité est présente dans les Machines Virtuelles Java ayant les numéros de construction suivant :

• 2000 à 2447
• 2752 à 3194
• 3229 à 3240
• 3300 à 3318

Pour connaître le numéro de construction de la Machine Virtuelle qui est installée sur le système, taper la commande JVIEW à l'invite de commande.

Installer la nouvelle version de la Machine Virtuelle, dont le numéro de construction est 3319 à l'adresse suivante :

http://www.microsoft.com/java/vm/dl_vm40.htm