Avis du CERT-FR
Objet : Multiples vulnérabilité dans Konqueror
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité de données
- Élévation de privilèges
Systèmes affectés
Les versions de KDE 3.3.2 et antérieures sont vulnérables.
Description
KDE est un environnement graphique pour système Unix et Linux, incluant en particulier Konqueror, gestionnaire de fichiers permettant la navigation sur le web.
Deux failles ont été découvertes dans Konqueror.
La première faille (CAN-2004-1158) permet à un site web de charger une page dans une fenêtre qui était déjà utilisée par un autre site web. La confusion résultant de cette manipulation peut entraîner un utilisateur à envoyer des données confidentielles sur un serveur malicieusement construit, alors qu'il croit les envoyer sur un serveur de confiance.
La deuxième faille (CAN-2004-1145) concerne la gestion de l'environnement d'exécution Java par Konqueror et permet à un utilisateur mal intentionné, via un site web malicieusement construit, d'avoir accès en lecture et en écriture aux fichiers de la victime, avec les droits de l'utilisateur.
Solution
Se référer aux bulletins de sécurité de l'éditeur (cf. section Documentation) pour l'obtention des correctifs.
Documentation
-
Avis du CERTA : CERTA-2004-AVI-406
http://www.certa.ssi.gouv.fr/site/CERTA-2004-AVI-406/index.html -
Bulletin de sécurité KDE du 13 décembre 2004
http://www.kde.org/info/security/advisory-20041213-1.txt -
Bulletin de sécurité KDE du 20 décembre 2004
http://www.kde.org/info/security/advisory-20041220-1.txt -
Bulletin de sécurité Mandrake MDKSA-2004:154 du 22 décembre 2004 :
http://www.mandrakesoft.com/security/advisories?name=MDKSA-2004:154
Gestion détaillée du document
| Date | Description |
|---|---|
| 22 décembre 2004 | version initiale. |
| 23 décembre 2004 | ajout référence au bulletin de sécurité Mandrake MDKSA-2004:154. |