Actu
Vigil@nce : Messenger, récupération d’information sensible via ActiveX
août 2008 par Vigil@nce
SYNTHÈSE
Un attaquant peut créer une page web illégitime afin de récupérer
des informations permettant d’usurper l’identité d’une victime.
Gravité : 3/4
Conséquences : accès/droits privilégié, lecture de données
Provenance : document
Moyen d’attaque : aucun démonstrateur, aucune attaque
Compétence de l’attaquant : expert (4/4)
Confiance : confirmé par l’éditeur (5/5)
Diffusion de la configuration vulnérable : élevée (3/3)
Date création : 13/08/2008
Référence : VIGILANCE-VUL-8024
PRODUITS CONCERNÉS
– Microsoft Windows 2000 [versions confidentielles]
– Microsoft Windows 2003 [versions confidentielles]
– Microsoft Windows XP [versions confidentielles]
DESCRIPTION
Microsoft Messenger peut implémenter des contrôles ActiveX.
Une page web illégitime exploitant le contrôle ActiveX
"Messenger.UIAutomation.1" peut interagir avec le client messenger
pour par exemple :
– récupérer l’état de l’utilisateur
– obtenir des informations sur le contact
– initialiser des sessions audio ou video sans le consentement de
l’utilisateur.
– usurper l’identité d’une victime
Un attaquant peut donc récupérer des informations permettant
d’usurper l’identité d’une victime.
CARACTÉRISTIQUES
Références : 955702, CVE-2008-0082, MS08-050, VIGILANCE-VUL-8024
