– Date : 27 Mars 2009

– Plateformes :
* Windows
* Mac OS X
* Linux

– Programme : firefox

– Gravité : Urgente

– Exploitation : Avec un fichier malicieux

– Dommage : Accès au système

- Description :
Un code d’exploitation pour le navigateur internet Firefox est disponible
depuis mercredi. Celui-ci permet à un pirate de prendre le contrôle d’un système par le biais d’une page web malicieuse.

Toutes les versions du navigateur sont affectées par cette vulnérabilité.
Cette faille de sécurité est considérée comme critique par les équipes de
Mozilla. Celles-ci mettent tout en oeuvre afin de rendre disponible un
correctif pour le 1er avril.

Le code d’exploitation est disponible sous la forme de 3 fichiers. Le
premier est un fichier HTML chargeant un second fichier XML au sein d’une
iframe. Ce fichier XML fait lui-même appel à un ficher XSL. Lors du
traitement de ce dernier, un débordement de mémoire est provoqué.
Il est alors possible de placer un code malicieux dans la mémoire afin
qu’il soit exécuté sous les privilèges de l’utilisateur.

Note : Une preuve de concept [1] n’ayant aucune charge utile est disponible
et réalise donc un arrêt inopiné du navigateur.

- Vulnérable :
* Firefox (toutes versions)

- Référence :

[1] http://milw0rm.com/exploits/8285

https://bugzilla.mozilla.org/show_bug.cgi?id=485217

–  Correction :
Un correctif sera prochainement disponible.

- Lien extranet XMCO Partners :

http://xmcopartners.com/veille/client/index.xmco?nv=1238146708