Des failles dans SP2

 Date de Publication : 2004-08-19 © K-OTik.COM - Voir Notice Légale  
 Titre: Microsoft Internet Explorer Drag and Drop Vulnerability
 K-OTik ID : 0706
 Risque : Critique
 Exploitable à distance : Oui
 Exploitable en local : Oui
 




 


 * Description Technique - Exploit *
 
Une vulnérabilité critique a été identifiée dans Microsoft Internet Explorer,
elle pourrait être exploitée par un attaquant distant afin de
compromettre un système vulnérable. Le problème se situe au niveau de
la gestion (non sécurisée) des événements glisser-déposer (drag and
drop) issus de la zone internet vers la zone locale, ce qui pourrait être
exploité par un site web afin de déposer un fichier malicieux dans le
répertoire de démarrage de l'utilisateur connecté (Documents and
Settings/Utilisateur/Menu Démarrer/Programmes/Démarrage/), ce qui
permettra son exécution automatique au prochain démarrage de Windows.

K-OTik Security qualifie (normalement) le risque lié à ce type de
vulnérabilités de "Moyen", puisque l'exploitation nécessite une
interaction avec l'utilisateur. Cependant, la possibilité d'une
exploitation automatique ou semi-automatique n'est pas à exclure [d'où
le niveau de risque "Critique"].

Note : Windows XP SP2 est vulnérable.




 * Versions Vulnérables *

Microsoft Internet Explorer 5.01
Microsoft Internet Explorer 5.5
Microsoft Internet Explorer 6

 * Solution *

Aucune solution officielle pour l'instant.
Désactiver Active Scripting