Vigil@nce : IE, vulnérabilités de multiples ActiveX de mai 2008
mai 2008 par Vigil@nce
Plusieurs ActiveX permettent à un attaquant distant de mener un déni de service ou de faire exécuter du code.
Gravité : 2/4
CVSS : 9.3/10
Conséquences : accès/droits utilisateur, lecture de données,
création/modification de données
Provenance : document
Moyen d’attaque : aucun démonstrateur, aucune attaque
Compétence de l’attaquant : expert (4/4)
Confiance : sources multiples (3/5)
Diffusion de la configuration vulnérable : élevée (3/3)
Date création : 09/05/2008
Date révision : 14/05/2008
Référence : VIGILANCE-VUL-7813
PRODUITS CONCERNÉS
Microsoft Internet Explorer versions 5.0, 5.01, 5.01 SP1, 5.01 SP2, 5.01 SP3, 5.01 SP4, 5.5, 5.5 SP1, 5.5 SP2, 6.0, 6.0 SP1, 6 sous WinXP, 6 sous WinXP_SP1, 6_SP1 sous WinXP_SP1, 6 sous WinXP_SP2, 6 sous Win2003, 6 sous Win2003_SP1, 6 sous Win2003_SP2, 7 sous WinXP_SP1, 7 sous WinXP_SP2, 7 sous WinXP_SP3, 7 sous Win2003, 7 sous Win2003_SP1, 7 sous Win2003_SP2, 7 sous WinVista, 7 sous WinVista_SP1, 7 sous Win2008.
Des produits similaires ou des versions inférieures à celles indiquées pourraient aussi être affectés.
DESCRIPTION
Plusieurs ActiveX permettent à un attaquant distant de mener un
déni de service ou de faire exécuter du code.
Un attaquant peut corrompre la mémoire de l’ActiveX Yahoo !
Assistant 3721 Internet Assistant yNotifier.dll afin de faire
exécuter du code sur la machine de la victime. [grav:2/4 ;
BID-29065, CVE-2008-2111]
Un attaquant peut employer la méthode SaveBarCode() ou
SaveEnhWMF() de l’ActiveX IDAutomation Linear
(IDAutomationLinear6.dll) Datamatrix (IDAutomationDMATRIX6.DLL)
PDF417 (IDAutomationPDF417_6.dll) Aztec (IDAutomationAZTEC.dll)
Barcode afin de créer un fichier sur la machine de la victime.
[grav:2/4]
CARACTÉRISTIQUES
Références : BID-29065, CVE-2008-2111, VIGILANCE-VUL-7813
Score CVSS : 9.3/10 (CVE-2008-2111)
https://vigilance.aql.fr/arbre/1/7813