CERTFR-2015-ALE-004
Vulnerability from certfr_alerte

Une vulnérabilité référencée par l'identifiant CVE-2015-0072, a été découverte dans Microsoft Internet Explorer. Elle permet à un attaquant de contourner la politique dite Same Origin Policy et d'exécuter du code JavaScript malveillant via le chargement d'une page HTML.

3 -.1 Fonctionnement de l'attaque

La politique SOP (Same Origin Policy) est mise en place pour éviter que des scripts malveillants puissent accéder aux données présentes sur d'autres domaines, notamment aux cookies HTTP permettant de maintenir les sessions authentifiées.

L'exploitation de cette vulnérabilité permet de contourner cette protection et donc d'exécuter du code JavaScript dans le contexte d'une page tierce telle qu'une application métier, un site bancaire, ou tout autre application sensible.

3 -.2 Scénarios possibles d'attaque

Cette vulnérabilité est susceptible d'être mise en oeuvre lors de tentatives d'hameçonnage ou lors d'attaques par point d'eau.

3 -.3 Risques encourus

Les risques encourus sont similaires à ceux liés aux attaques de type injection de code indirecte (XSS). En particulier, l'exploitation de cette vulnérabilité peut permettre de récupérer les cookies envoyés par le navigateur pour usurper une session authentifiée.

Se référer à la note d'information CERTA-2002-INF-001-001 pour plus de détails.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

None
Impacted products
Vendor Product Description
Microsoft N/A Internet Explorer version 10
Microsoft N/A Internet Explorer version 11
References

Show details on source website

To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Internet Explorer version 10",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "Microsoft",
          "scada": false
        }
      }
    },
    {
      "description": "Internet Explorer version 11",
      "product": {
        "name": "N/A",
        "vendor": {
          "name": "Microsoft",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": null,
  "closed_at": "2015-03-31",
  "content": "## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n",
  "cves": [
    {
      "name": "CVE-2015-0072",
      "url": "https://www.cve.org/CVERecord?id=CVE-2015-0072"
    }
  ],
  "initial_release_date": "2015-02-10T00:00:00",
  "last_revision_date": "2015-03-31T00:00:00",
  "links": [
    {
      "title": "Note d\u0027information : vuln\u00e9rabilit\u00e9 de type Cross Site    Scripting (XSS)",
      "url": "http://www.cert.ssi.gouv.fr/site/CERTA-2002-INF-001/CERTA-2002-INF-001.html"
    },
    {
      "title": "Recommandations pour le d\u00e9ploiement s\u00e9curis\u00e9 du navigateur    Google Chrome sous Windows",
      "url": "http://www.ssi.gouv.fr/fr/guides-et-bonnes-pratiques/recommandations-et-guides/securite-du-poste-de-travail-et-des-serveurs/recommandations-pour-le-deploiement-securise-du-navigateur-google-chrome-sous.html"
    },
    {
      "title": "Recommandations pour le d\u00e9ploiement s\u00e9curis\u00e9 du navigateur    Mozilla Firefox sous Windows",
      "url": "http://www.ssi.gouv.fr/fr/guides-et-bonnes-pratiques/recommandations-et-guides/securite-du-poste-de-travail-et-des-serveurs/recommandations-pour-le-deploiement-securise-du-navigateur-mozilla-firefox-sous.html"
    },
    {
      "title": "Mitigating Cross-site Scripting With HTTP-only Cookies",
      "url": "https://msdn.microsoft.com/en-us/library/ms533046.aspx"
    },
    {
      "title": "Mitigating framesniffing with the X-Frame-Options header",
      "url": "https://support.microsoft.com/kb/2694329"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Microsoft MS15-018 du 10 Mars 2015",
      "url": "https://technet.microsoft.com/library/security/ms15-018"
    },
    {
      "title": "Universal XSS vulnerability discovered in Microsoft    Internet Explorer",
      "url": "http://www.symantec.com/connect/blogs/universal-xss-vulnerability-discovered-microsoft-internet-explorer"
    }
  ],
  "reference": "CERTFR-2015-ALE-004",
  "revisions": [
    {
      "description": "version initiale ;",
      "revision_date": "2015-02-10T00:00:00.000000"
    },
    {
      "description": "fermeture de l\u0027alerte suite \u00e0 la publication d\u0027un correctif par l\u0027\u00e9diteur.",
      "revision_date": "2015-03-31T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    },
    {
      "description": "Injection de code indirecte \u00e0 distance"
    }
  ],
  "summary": "Une vuln\u00e9rabilit\u00e9 r\u00e9f\u00e9renc\u00e9e par l\u0027identifiant CVE-2015-0072, a \u00e9t\u00e9\nd\u00e9couverte dans \u003cspan class=\"textit\"\u003eMicrosoft Internet Explorer\u003c/span\u003e.\nElle permet \u00e0 un attaquant de contourner la politique dite \u003cspan\nclass=\"textit\"\u003eSame Origin Policy\u003c/span\u003e et d\u0027ex\u00e9cuter du code \u003cspan\nclass=\"textit\"\u003eJavaScript\u003c/span\u003e malveillant via le chargement d\u0027une\npage HTML.\n\n## \u003cspan id=\"SECTION00041000000000000000\"\u003e\u003cspan class=\"arabic\"\u003e3\u003c/span\u003e -.\u003cspan class=\"arabic\"\u003e1\u003c/span\u003e Fonctionnement de l\u0027attaque \u003c/span\u003e\n\nLa politique \u003cspan class=\"textit\"\u003eSOP\u003c/span\u003e (\u003cspan class=\"textit\"\u003eSame\nOrigin Policy\u003c/span\u003e) est mise en place pour \u00e9viter que des scripts\nmalveillants puissent acc\u00e9der aux donn\u00e9es pr\u00e9sentes sur d\u0027autres\ndomaines, notamment aux cookies HTTP permettant de maintenir les\nsessions authentifi\u00e9es.\n\nL\u0027exploitation de cette vuln\u00e9rabilit\u00e9 permet de contourner cette\nprotection et donc d\u0027ex\u00e9cuter du code \u003cspan\nclass=\"textit\"\u003eJavaScript\u003c/span\u003e dans le contexte d\u0027une page tierce\ntelle qu\u0027une application m\u00e9tier, un site bancaire, ou tout autre\napplication sensible.\n\n## \u003cspan id=\"SECTION00042000000000000000\"\u003e\u003cspan class=\"arabic\"\u003e3\u003c/span\u003e -.\u003cspan class=\"arabic\"\u003e2\u003c/span\u003e Sc\u00e9narios possibles d\u0027attaque \u003c/span\u003e\n\nCette vuln\u00e9rabilit\u00e9 est susceptible d\u0027\u00eatre mise en oeuvre lors de\ntentatives d\u0027hame\u00e7onnage ou lors d\u0027attaques par point d\u0027eau.\n\n## \u003cspan id=\"SECTION00043000000000000000\"\u003e\u003cspan class=\"arabic\"\u003e3\u003c/span\u003e -.\u003cspan class=\"arabic\"\u003e3\u003c/span\u003e Risques encourus \u003c/span\u003e\n\nLes risques encourus sont similaires \u00e0 ceux li\u00e9s aux attaques de type\ninjection de code indirecte (XSS). En particulier, l\u0027exploitation de\ncette vuln\u00e9rabilit\u00e9 peut permettre de r\u00e9cup\u00e9rer les cookies envoy\u00e9s par\nle navigateur pour usurper une session authentifi\u00e9e.\n\nSe r\u00e9f\u00e9rer \u00e0 la note d\u0027information CERTA-2002-INF-001-001 pour plus de\nd\u00e9tails.\n",
  "title": "Vuln\u00e9rabilit\u00e9 dans Microsoft Internet Explorer",
  "vendor_advisories": []
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
  • Confirmed: The vulnerability is confirmed from an analyst perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
  • Patched: This vulnerability was successfully patched by the user reporting the sighting.
  • Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
  • Not confirmed: The user expresses doubt about the veracity of the vulnerability.
  • Not patched: This vulnerability was not successfully patched by the user reporting the sighting.