Avis du CERT-FR
Objet : Vulnérabilités dans Internet Explorer
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Exécution de code arbitraire à distance
Systèmes affectés
Internet explorer 6.x, 7.x et 8.x.
Résumé
Plusieurs vulnérabilités affectent Internet Explorer permettant la divulgation de données ou l'exécution de code arbitraire à distance
Description
Plusieurs vulnérabilités affectent Internet Explorer :
- le mécanisme d'autocomplétion permet à un utilisateur malveillant d'accéder indûment à des données ;
- le filtrage par la fonction toStaticHTML permet à un utilisateur malveillant d'exécuter du code à distance avec les droits de l'utilisateur connecté ;
- le traitement de certains caractères dans les feuilles de style (CSS) permet à un utilisateur malveillant d'accéder indûment à des données ;
- le traitement d'objets non initialisés ou détruits présente un défaut permettant à un utilisateur malveillant d'exécuter du code à distance avec les droits de l'utilisateur connecté. L'une de ces vulnérabilités est liée à l'ouverture de documents HTML par Word ;
- le traitement des éléments de type Anchor permet à un utilisateur malveillant d'accéder indûment à des données ;
- le cloisonnement entre domaines est imparfait et permet à un utilisateur malveillant de récupérer des informations liées à la connexion de l'utilisateur sur un site d'un autre domaine.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Microsoft MS10-071 du 12 octobre 2010
http://www.microsoft.com/technet/security/Bulletin/MS10-071.mspx -
Référence CVE CVE-2010-0808
https://www.cve.org/CVERecord?id=CVE-2010-0808 -
Référence CVE CVE-2010-3243
https://www.cve.org/CVERecord?id=CVE-2010-3243 -
Référence CVE CVE-2010-3324
https://www.cve.org/CVERecord?id=CVE-2010-3324 -
Référence CVE CVE-2010-3325
https://www.cve.org/CVERecord?id=CVE-2010-3325 -
Référence CVE CVE-2010-3326
https://www.cve.org/CVERecord?id=CVE-2010-3326 -
Référence CVE CVE-2010-3327
https://www.cve.org/CVERecord?id=CVE-2010-3327 -
Référence CVE CVE-2010-3328
https://www.cve.org/CVERecord?id=CVE-2010-3328 -
Référence CVE CVE-2010-3329
https://www.cve.org/CVERecord?id=CVE-2010-3329 -
Référence CVE CVE-2010-3330
https://www.cve.org/CVERecord?id=CVE-2010-3330 -
Référence CVE CVE-2010-3331
https://www.cve.org/CVERecord?id=CVE-2010-3331
Gestion détaillée du document
| Date | Description |
|---|---|
| 13 octobre 2010 | version initiale. |