Actu
Vigil@nce : Windows Media Encoder, exécution de code
septembre 2008 par Vigil@nce
SYNTHÈSE
Un attaquant peut employer un ActiveX installé par Windows Media
Encoder afin de faire exécuter du code sur la machine de la
victime.
Gravité : 3/4
Conséquences : accès/droits utilisateur
Provenance : serveur internet
Moyen d’attaque : aucun démonstrateur, aucune attaque
Compétence de l’attaquant : expert (4/4)
Confiance : confirmé par l’éditeur (5/5)
Diffusion de la configuration vulnérable : élevée (3/3)
Date création : 10/09/2008
Référence : VIGILANCE-VUL-8099
PRODUITS CONCERNÉS
– Microsoft Windows 2000 [versions confidentielles]
– Microsoft Windows 2003 [versions confidentielles]
– Microsoft Windows 2008
– Microsoft Windows Vista [versions confidentielles]
– Microsoft Windows XP [versions confidentielles]
DESCRIPTION
Le produit Codeur Windows Media Série 9 (Windows Media Encoder 9 Series) permet de créer des contenus multimédia riches. Ce produit
n’est pas installé par défaut sous Windows.
Ce produit installe l’ActiveX WMEX.DLL. Cet ActiveX est marqué
Safe For Scripting, alors qu’il n’a pas été conçu de manière
sécurisée. Un attaquant peut donc lui passer des paramètres
illicites afin de faire exécuter code.
Un attaquant peut donc créer une page HTML appelant cet ActiveX
afin de faire exécuter du code sur la machine de la victime
visualisant cette page.
CARACTÉRISTIQUES
Références : BID-31065, CVE-2008-3008, MS08-053,
VIGILANCE-VUL-8099, VU#996227
