Vigil@nce : IE, vulnérabilités de multiples ActiveX de septembre 2009
septembre 2009 par
Plusieurs ActiveX permettent à un attaquant distant de mener un
déni de service ou de faire exécuter du code.
Gravité : 2/4
Conséquences : accès/droits utilisateur, lecture de données,
création/modification de données
Provenance : document
Moyen d’attaque : 2 démonstrateurs et 1 attaque
Compétence de l’attaquant : technicien (2/4)
Confiance : sources multiples (3/5)
Diffusion de la configuration vulnérable : élevée (3/3)
Nombre de vulnérabilités dans ce bulletin : 4
Date création : 04/09/2009
PRODUITS CONCERNÉS
– Microsoft Internet Explorer
DESCRIPTION DE LA VULNÉRABILITÉ
Plusieurs ActiveX permettent à un attaquant distant de mener un
déni de service ou de faire exécuter du code.
Un attaquant peut provoquer plusieurs débordements dans l’ActiveX
PPSMediaList MList.ocx, afin de faire exécuter du code sur la
machine de la victime. [grav:2/4]
Un attaquant peut provoquer un buffer overflow dans la fonction
StartVideoSaving() de l’ActiveX SmartVMD VideoMovementDetection.dll,
afin d’exécuter du code sur la machine de la victime. [grav:2/4 ;
BID-36217]
Un attaquant peut provoquer un buffer overflow dans l’ActiveX
Novell iPrint Client, afin d’exécuter du code sur la machine de la
victime. [grav:2/4 ; BID-36231]
Un attaquant peut employer la méthode DownloadAndInstall() de
l’ActiveX Altiris.AeXNSPkgDL.1 AeXNSPkgDLLib.dll, afin d’exécuter
une commande sur la machine de la victime. [grav:2/4]
CARACTÉRISTIQUES
Références : BID-36217, BID-36231, VIGILANCE-VUL-8998
http://vigilance.fr/vulnerabilite/IE-vulnerabilites-de-multiples-ActiveX-de-septembre-2009-8998