La revue des failles du 10 au 24 novembre 2008
Revue des principales failles du 10 au 24 novembre 2008, avec VUPEN Security. Aujourd'hui : Adobe AIR, Microsoft Windows, XML Core Services, Mozilla et Trend Micro ServerProtect.
Adobe AIR 1.x
Niveau de danger : Critique
Description de la faille : Plusieurs vulnérabilités ont été identifiées dans Adobe AIR, elles pourraient être exploitées par des attaquants afin de compromettre un système vulnérable. Le premier problème résulte d'erreurs de validation d'entrées inconnues liées au traitement des données SWF, ce qui pourrait permettre à un attaquant d'exécuter un code arbitraire. La seconde vulnérabilité résulte d'une erreur inconnue liée au chargement des données, ce qui pourrait permettre à un attaquant d'exécuter un code JavaScript malicieux avec des privilèges élevés.
Patch et/ou information : Lien
Microsoft Windows
Niveau de danger : Élevé
Description de la faille : Une vulnérabilité a été identifiée dans Microsoft Windows, elle pourrait être exploitée par des attaquants distants afin de compromettre un système vulnérable. Ce problème résulte d'une erreur présente au niveau du protocole SMB (Server Message Block) qui gère les informations d'identification NTLM de manière insécurisée, ce qui pourrait permettre à un attaquant de réutiliser les informations d'identification d'un l'utilisateur et accéder a son système en l'incitant à se connecter à un serveur malicieux ou à une page web spécialement conçue.
Patch et/ou information : Lien
Microsoft XML Core Services
Niveau de danger : Critique
Description de la faille : Plusieurs vulnérabilités ont été identifiées dans Microsoft XML Core Services (MSXML), elles pourraient être exploitées par des attaquants distants afin d'obtenir des informations sensibles ou compromettre un système vulnérable. Le premier problème résulte d'une corruption de mémoire présente au niveau du traitement de certaines données XML, ce qui pourrait permettre à des attaquants d'exécuter un code arbitraire en incitant un utilisateur à visiter une page web malicieuse. La deuxième vulnérabilité résulte d'une erreur liée au traitement des définitions de type de document (DTD) externes, ce qui pourrait permettre à un site malicieux d'accéder aux données transmises par un autre domaine. La troisième faille résulte d'une erreur présente au niveau du traitement des en-têtes de codage de transferts, ce qui pourrait permettre à un site malicieux d'accéder aux données transmises par un autre domaine.
Patch et/ou information : Lien
Produits Mozilla
Niveau de danger : Critique
Description de la faille : Plusieurs vulnérabilités ont été identifiées dans Mozilla Firefox, SeaMonkey et Thunderbird, elles pourraient être exploitées par des attaquants afin de contourner les mesures de sécurité, obtenir des informations sensibles, causer un déni de service ou compromettre un système vulnérable. Ces failles résultent de corruptions de mémoire et d'erreurs de validation d'entrées présentes au niveau du traitement de certaines données et fonctions JavaScript, ainsi qu'au niveau de la gestion des URLs, balises et messages électroniques, ce qui pourrait permettre à des attaquants de contourner les mesures de sécurité, injecter un script malicieux, obtenir des données sensibles ou exécuter des commandes arbitraires distantes.
Patch et/ou information : Lien
Trend Micro ServerProtect 5.x
Niveau de danger : Critique
Description de la faille : Plusieurs vulnérabilités ont été identifiées dans Trend Micro ServerProtect, elles pourraient être exploitées par des attaquants distants afin de compromettre un système vulnérable. Le premier problème résulte d'une erreur de validation d'accès présente au niveau d'une interface RPC inconnue, ce qui pourrait permettre à un attaquant distant d'accéder à un serveur vulnérable avec des privilèges administratifs. D'autres vulnérabilités causées par des débordements de mémoire pourraient être exploitées afin de compromettre un serveur vulnérable.
Patch et/ou information : Lien
| Date | |
|---|---|
| Source : VUPEN Security | |
| 11/11 | Adobe PageMaker, OpenOffice 2.x, VLC Media Player 0.x, Adobe Acrobat et Reader 8.x |
| 27/10 | Microsoft Windows 2000/XP/2003/Vista/2008, Opera, Trend Micro OfficeScan et VLC Media Player |
| 14/10 | IBM Lotus Quickr, Novell eDirectory, Opera 9, Sun Java Web Proxy Server Trend Micro OfficeScan |