Avis du CERT-FR
Objet : Exécution à distance de Visual FoxPro 6.0 ou des documents associés
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
Microsoft Windows avec Visual FoxPro 6.0 installé.
Résumé
Un utilisateur mal intentionné peut lancer à distance le logiciel Visual FoxPro 6.0 (s'il est installé sur la machine cible) ainsi qu'une application qui y est associée au moyen d'une page HTML habilement conçue.
Description
Il est possible, lors de l'installation d'un logiciel sur le système Windows, d'indiquer la façon dont Internet Explorer traitera les applications qui y sont associées. Lors de son installation, Visual FoxPro 6.0 n'indique pas à Internet Explorer la façon dont seront traités les fichiers qui lui sont associés (extension en .app).
Par conséquent, il est possible de lancer automatiquement Visual FoxPro 6.0, voire d'exécuter un fichier dont l'extension est .app au moyen d'un fichier HTML habilement conçu (dans un message au format HTML ou sur un serveur web malicieux par exemple).
Solution
Appliquer le correctif comme indiqué dans le bulletin de sécurité MS02-049 de Microsoft (consulter le paragraphe Documentation).
Documentation
-
Bulletin de sécurité MS02-049 de Microsoft
http://www.microsoft.com/technet/security/bulletin/MS02-049.asp
Gestion détaillée du document
| Date | Description |
|---|---|
| 05 septembre 2002 | version initiale. |