Sécurité informatique

SECURINFOS.INFO - Bulletins de sécurité informatique, Alertes et Protection

Internet Explorer Global Variables Local File Detection Faille

22/01/2007 09H02
Référence Secunia : SA13872 
Date de publication : 2005-01-18

Risque : Non Critique. Niveau 1 sur 5.
Impact : Exposition d'informations systèmes
Lieu : A distance


Solutions :
Non corrigée


Produit :
Microsoft Internet Explorer 5.01
Microsoft Internet Explorer 5.5
Microsoft Internet Explorer 6.x

Description :
Berend-Jan Wever a découvert un défaut dans Internet Explorer, qui pourrait être exploité par des personnes malintentionnées pour détecter la présence de fichiers locaux.

Le problème est que sites depuis the "Internet" zone peut inclure des scripts depuis des ressources locales. Cela pourrait être exploité de déterminer la présence de local scripts en vérifiant l'existence de global variables introduced dans le inclus script.

NOTE : Ceci est similaire à an old issue, qui utilisé the window.onerror event à catch errors dans le chargement de local scripts.

Le défaut a été confirmé sur un système complètement à jour avec Internet Explorer 6.0 et Microsoft Windows XP SP2.


Solutions :
Désactiver le support d'Active Scripting pour tous sauf des sites de confiance.


Vulnérabilité découverte par :

Berend-Jan Wever




Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.