CERTA-2006-AVI-202
Vulnerability from certfr_avis - Published: 2006-05-17 - Updated: 2006-05-17
Une mauvaise validation dans le contrôle ActiveX I-Nav permet à un utilisateur mal intentionné de faire exécuter du code arbitraire aux visiteurs d'un site web sous son contrôle.
Description
I-Nav est un contrôle ActiveX rajoutant le support des noms de domaines internationaux (IDN - « Internationalized Domain Names »). Ceci permet d'avoir des noms de domaines qui ne sont plus limités à l'ASCII 7 bits mais utilisant divers alphabets, et en particulier les caractères accentués dans le cas du français. Verisign a développé un greffon pour ajouter le support IDN à Internet Explorer, Outlook et Outlook Express. Une absence de vérification dans une fonction du contrôle permet de faire exécuter du code arbitraire, dans le cas où l'utilisateur mal intentionné a réussit à emmener sa victime sur son site malveillant.
Solution
Se référer au site de l'éditeur pour l'obtention d'une version corrigée (cf. section Documentation).
Internet Explorer, Outlook et Outlook Express avec le greffon I-Nav de Verisign.
| Vendor | Product | Description |
|---|
| Title | Publication Time | Tags | ||||||
|---|---|---|---|---|---|---|---|---|
|
||||||||
{
"$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
"affected_systems": [],
"affected_systems_content": "\u003cP\u003e\u003cTT\u003eInternet Explorer\u003c/TT\u003e, \u003cTT\u003eOutlook\u003c/TT\u003e et \u003cTT\u003eOutlook Express\u003c/TT\u003e avec le greffon \u003cTT\u003eI-Nav\u003c/TT\u003e de \u003cTT\u003eVerisign\u003c/TT\u003e.\u003c/P\u003e",
"content": "## Description\n\nI-Nav est un contr\u00f4le ActiveX rajoutant le support des noms de domaines\ninternationaux (IDN - \u00ab Internationalized Domain Names \u00bb). Ceci permet\nd\u0027avoir des noms de domaines qui ne sont plus limit\u00e9s \u00e0 l\u0027ASCII 7 bits\nmais utilisant divers alphabets, et en particulier les caract\u00e8res\naccentu\u00e9s dans le cas du fran\u00e7ais. Verisign a d\u00e9velopp\u00e9 un greffon pour\najouter le support IDN \u00e0 Internet Explorer, Outlook et Outlook Express.\nUne absence de v\u00e9rification dans une fonction du contr\u00f4le permet de\nfaire ex\u00e9cuter du code arbitraire, dans le cas o\u00f9 l\u0027utilisateur mal\nintentionn\u00e9 a r\u00e9ussit \u00e0 emmener sa victime sur son site malveillant.\n\n## Solution\n\nSe r\u00e9f\u00e9rer au site de l\u0027\u00e9diteur pour l\u0027obtention d\u0027une version corrig\u00e9e\n(cf. section Documentation).\n",
"cves": [
{
"name": "CVE-2006-2273",
"url": "https://www.cve.org/CVERecord?id=CVE-2006-2273"
}
],
"initial_release_date": "2006-05-17T00:00:00",
"last_revision_date": "2006-05-17T00:00:00",
"links": [
{
"title": "Site internet de i-Nav :",
"url": "http://www.idnnow.com"
}
],
"reference": "CERTA-2006-AVI-202",
"revisions": [
{
"description": "version initiale.",
"revision_date": "2006-05-17T00:00:00.000000"
}
],
"risks": [
{
"description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
}
],
"summary": "Une mauvaise validation dans le contr\u00f4le ActiveX I-Nav permet \u00e0 un\nutilisateur mal intentionn\u00e9 de faire ex\u00e9cuter du code arbitraire aux\nvisiteurs d\u0027un site web sous son contr\u00f4le.\n",
"title": "Vuln\u00e9rabilit\u00e9 du contr\u00f4le ActiveX I-Nav de Verisign",
"vendor_advisories": [
{
"published_at": null,
"title": "Bulletin de s\u00e9curit\u00e9 Zero Day Initiative",
"url": "http://www.zerodayinitiative.com/advisories/ZDI-06-014.html"
}
]
}
Sightings
| Author | Source | Type | Date |
|---|
Nomenclature
- Seen: The vulnerability was mentioned, discussed, or observed by the user.
- Confirmed: The vulnerability has been validated from an analyst's perspective.
- Published Proof of Concept: A public proof of concept is available for this vulnerability.
- Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
- Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
- Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
- Not confirmed: The user expressed doubt about the validity of the vulnerability.
- Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.