CERTA-2008-AVI-450
Vulnerability from certfr_avis

Une vulnérabilité a été identifiée dans le contrôle ActiveX installé par Windows Media Encoder 9 Series. L'exploitation de celle-ci, par exemple via une page Web spécialement construite, peut entraîner l'exécution de code arbitraire sur un système vulnérable.

Description

Une vulnérabilité a été identifiée dans le contrôle ActiveX wmex.dll installé par Windows Media Encoder 9 Series. Le produit n'est pas installé par défaut mais si c'est le cas, alors le contrôle ActiveX dispose des propriétés SFS (Safe for Scripting). Une personne malveillante peut exploiter cette vulnérabilité par le biais d'une page Web spécialement construite afin de faire exécuter du code arbitraire sur le système vulnérable.

Solution

Se référer au bulletin de sécurité MS08-053 de Microsoft pour l'obtention des correctifs (cf. section Documentation).

None
Impacted products
Vendor Product Description
Microsoft Windows Windows Vista, Service Pack 1 et Edition x64 compris ;
Microsoft Windows Windows Server 2008 pour systèmes 32-bit ou x64.
Microsoft Windows Windows Server 2003 Service Packs 1 et 2, y compris Edition x64 ;
Microsoft Windows Windows XP Service Packs 2 et 3 ;
Microsoft Windows Windows XP Professionnel Edition x64, Service Pack 2 compris ;
Microsoft Windows Microsoft Windows 2000 Service Pack 4 ;
References

Show details on source website

To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Windows Vista, Service Pack 1 et Edition x64 compris ;",
      "product": {
        "name": "Windows",
        "vendor": {
          "name": "Microsoft",
          "scada": false
        }
      }
    },
    {
      "description": "Windows Server 2008 pour syst\u00e8mes 32-bit ou x64.",
      "product": {
        "name": "Windows",
        "vendor": {
          "name": "Microsoft",
          "scada": false
        }
      }
    },
    {
      "description": "Windows Server 2003 Service Packs 1 et 2, y compris Edition x64 ;",
      "product": {
        "name": "Windows",
        "vendor": {
          "name": "Microsoft",
          "scada": false
        }
      }
    },
    {
      "description": "Windows XP Service Packs 2 et 3 ;",
      "product": {
        "name": "Windows",
        "vendor": {
          "name": "Microsoft",
          "scada": false
        }
      }
    },
    {
      "description": "Windows XP Professionnel Edition x64, Service Pack 2 compris ;",
      "product": {
        "name": "Windows",
        "vendor": {
          "name": "Microsoft",
          "scada": false
        }
      }
    },
    {
      "description": "Microsoft Windows 2000 Service Pack 4 ;",
      "product": {
        "name": "Windows",
        "vendor": {
          "name": "Microsoft",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "content": "## Description\n\nUne vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e dans le contr\u00f4le ActiveX wmex.dll\ninstall\u00e9 par Windows Media Encoder 9 Series. Le produit n\u0027est pas\ninstall\u00e9 par d\u00e9faut mais si c\u0027est le cas, alors le contr\u00f4le ActiveX\ndispose des propri\u00e9t\u00e9s SFS (Safe for Scripting). Une personne\nmalveillante peut exploiter cette vuln\u00e9rabilit\u00e9 par le biais d\u0027une page\nWeb sp\u00e9cialement construite afin de faire ex\u00e9cuter du code arbitraire\nsur le syst\u00e8me vuln\u00e9rable.\n\n## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 MS08-053 de Microsoft pour\nl\u0027obtention des correctifs (cf. section Documentation).\n",
  "cves": [
    {
      "name": "CVE-2008-3008",
      "url": "https://www.cve.org/CVERecord?id=CVE-2008-3008"
    }
  ],
  "initial_release_date": "2008-09-10T00:00:00",
  "last_revision_date": "2008-09-10T00:00:00",
  "links": [
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Microsoft MS08-053 du 09 septembre    2008 :",
      "url": "http://www.microsoft.com/france/technet/security/Bulletin/MS08-053.mspx"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Microsoft MS08-053 du 09 septembre    2008 :",
      "url": "http://www.microsoft.com/technet/security/Bulletin/MS08-053.mspx"
    }
  ],
  "reference": "CERTA-2008-AVI-450",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2008-09-10T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    }
  ],
  "summary": "Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e dans le contr\u00f4le ActiveX install\u00e9 par\nWindows Media Encoder 9 Series. L\u0027exploitation de celle-ci, par exemple\nvia une page Web sp\u00e9cialement construite, peut entra\u00eener l\u0027ex\u00e9cution de\ncode arbitraire sur un syst\u00e8me vuln\u00e9rable.\n",
  "title": "Vuln\u00e9rabilit\u00e9 dans Windows Media Encoder 9 Series",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 Microsoft MS08-053 du 09 septembre 2008",
      "url": null
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
  • Confirmed: The vulnerability is confirmed from an analyst perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
  • Patched: This vulnerability was successfully patched by the user reporting the sighting.
  • Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
  • Not confirmed: The user expresses doubt about the veracity of the vulnerability.
  • Not patched: This vulnerability was not successfully patched by the user reporting the sighting.