Avis du CERT-FR
Objet : Contournement des règles de sécurité dans Konqueror
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Divulgation de données
- Déni de service
Systèmes affectés
Tout système possédant KDE en version 2.2.2, 3.0 à 3.0.3 est vulnérable.
Résumé
Les protections de konqueror contre l'exécution du javascript pour certains domaines ne fonctionnent pas dans les sous-cadres de pages (sub-frames).
Description
Le code javascript peut s'exécuter, sans le contrôle de Konqueror, dans les sous-cadres de pages (sub-frames) et donc permet une attaque de type « Cross Site Scripting ».
Contournement provisoire
Désactiver l'emploi des javascripts.
Solution
Appliquer le correctif disponible en téléchargement sur le site de KDE (consulter la section documentation) ou installer la version 3.0.3a de kdelibs.
Documentation
-
Bulletin de sécurité #20020908-2 de KDE :
http://www.kde.org/info/security/advisory-20020908-2.txt
Gestion détaillée du document
| Date | Description |
|---|---|
| 13 septembre 2002 | version initiale ; |
| 17 septembre 2002 | ajout de l'avis debian. |