CERTA-2006-AVI-202
Vulnerability from certfr_avis
Une mauvaise validation dans le contrôle ActiveX I-Nav permet à un utilisateur mal intentionné de faire exécuter du code arbitraire aux visiteurs d'un site web sous son contrôle.
Description
I-Nav est un contrôle ActiveX rajoutant le support des noms de domaines internationaux (IDN - « Internationalized Domain Names »). Ceci permet d'avoir des noms de domaines qui ne sont plus limités à l'ASCII 7 bits mais utilisant divers alphabets, et en particulier les caractères accentués dans le cas du français. Verisign a développé un greffon pour ajouter le support IDN à Internet Explorer, Outlook et Outlook Express. Une absence de vérification dans une fonction du contrôle permet de faire exécuter du code arbitraire, dans le cas où l'utilisateur mal intentionné a réussit à emmener sa victime sur son site malveillant.
Solution
Se référer au site de l'éditeur pour l'obtention d'une version corrigée (cf. section Documentation).
Internet Explorer, Outlook et Outlook Express avec le greffon I-Nav de Verisign.
| Vendor | Product | Description |
|---|
| Title | Publication Time | Tags | ||||||
|---|---|---|---|---|---|---|---|---|
|
||||||||
{
"$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
"affected_systems": [],
"affected_systems_content": "\u003cP\u003e\u003cTT\u003eInternet Explorer\u003c/TT\u003e, \u003cTT\u003eOutlook\u003c/TT\u003e et \u003cTT\u003eOutlook Express\u003c/TT\u003e avec le greffon \u003cTT\u003eI-Nav\u003c/TT\u003e de \u003cTT\u003eVerisign\u003c/TT\u003e.\u003c/P\u003e",
"content": "## Description\n\nI-Nav est un contr\u00f4le ActiveX rajoutant le support des noms de domaines\ninternationaux (IDN - \u00ab Internationalized Domain Names \u00bb). Ceci permet\nd\u0027avoir des noms de domaines qui ne sont plus limit\u00e9s \u00e0 l\u0027ASCII 7 bits\nmais utilisant divers alphabets, et en particulier les caract\u00e8res\naccentu\u00e9s dans le cas du fran\u00e7ais. Verisign a d\u00e9velopp\u00e9 un greffon pour\najouter le support IDN \u00e0 Internet Explorer, Outlook et Outlook Express.\nUne absence de v\u00e9rification dans une fonction du contr\u00f4le permet de\nfaire ex\u00e9cuter du code arbitraire, dans le cas o\u00f9 l\u0027utilisateur mal\nintentionn\u00e9 a r\u00e9ussit \u00e0 emmener sa victime sur son site malveillant.\n\n## Solution\n\nSe r\u00e9f\u00e9rer au site de l\u0027\u00e9diteur pour l\u0027obtention d\u0027une version corrig\u00e9e\n(cf. section Documentation).\n",
"cves": [
{
"name": "CVE-2006-2273",
"url": "https://www.cve.org/CVERecord?id=CVE-2006-2273"
}
],
"initial_release_date": "2006-05-17T00:00:00",
"last_revision_date": "2006-05-17T00:00:00",
"links": [
{
"title": "Site internet de i-Nav :",
"url": "http://www.idnnow.com"
}
],
"reference": "CERTA-2006-AVI-202",
"revisions": [
{
"description": "version initiale.",
"revision_date": "2006-05-17T00:00:00.000000"
}
],
"risks": [
{
"description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
}
],
"summary": "Une mauvaise validation dans le contr\u00f4le ActiveX I-Nav permet \u00e0 un\nutilisateur mal intentionn\u00e9 de faire ex\u00e9cuter du code arbitraire aux\nvisiteurs d\u0027un site web sous son contr\u00f4le.\n",
"title": "Vuln\u00e9rabilit\u00e9 du contr\u00f4le ActiveX I-Nav de Verisign",
"vendor_advisories": [
{
"published_at": null,
"title": "Bulletin de s\u00e9curit\u00e9 Zero Day Initiative",
"url": "http://www.zerodayinitiative.com/advisories/ZDI-06-014.html"
}
]
}
Sightings
| Author | Source | Type | Date |
|---|
Nomenclature
- Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
- Confirmed: The vulnerability is confirmed from an analyst perspective.
- Published Proof of Concept: A public proof of concept is available for this vulnerability.
- Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
- Patched: This vulnerability was successfully patched by the user reporting the sighting.
- Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
- Not confirmed: The user expresses doubt about the veracity of the vulnerability.
- Not patched: This vulnerability was not successfully patched by the user reporting the sighting.