Avis du CERT-FR
Objet : Mauvaise vérification des certificats dans les produits Microsoft
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Usurpation d'identité
Systèmes affectés
Tout système Windows ainsi que certains produits pour Macintosh sont vulnérables dont :
- Microsoft Windows 98 ;
- Microsoft Windows 98 Second Edition ;
- Microsoft Windows Me ;
- Microsoft Windows NT 4.0 ;
- Microsoft Windows NT 4.0, Terminal Server Edition ;
- Microsoft Windows 2000 ;
- Microsoft Windows XP ;
- Microsoft Office pour Mac ;
- Microsoft Internet Explorer pour Mac ;
- Microsoft Outlook Express pour Mac.
Résumé
Les produits Microsoft ne vérifient pas tous les champs des certificats utilisés pour authentifier des pages Web ou pour signer des méls. Un utilisateur mal intentionné peut générer son propre certificat permettant une usurpation d'identitée.
Description
Les certificats au standard X.509 possèdent plusieurs champs d'options. Un de ces champs s'appelle « Basic Constraints Field » et indique la longueur maximum autorisée pour une chaine de certificats ainsi que si le certificat est d'autorité ou non. Les procédures de Microsoft ne vérifient pas ce champ et donc, un certificat, habilement conçu par un utilisateur mal intentionné, peut passer pour un certificat d'autorité.
Solution
Appliquer le correctif de Microsoft disponible en téléchargement sur la page de l'avis #MS02-050 (Consultez la section Documentation).
Documentation
-
Avis #MS02-050 de Microsoft
http://www.microsoft.com/technet/security/bulletin/MS02-050.asp
Gestion détaillée du document
| Date | Description |
|---|---|
| 05 septembre 2002 | version initiale. |