{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cP\u003eNetscape Navigator 4.x et Internet Explorer 4.x et 5.x quelque  soit le syst\u00e8me utilis\u00e9.\u003c/P\u003e",
  "content": "## Description\n\n-   Premi\u00e8re vuln\u00e9rabilit\u00e9 (Netscape Navigator et Internet Explorer)  \n      \n\n    Apr\u00e8s avoir v\u00e9rifi\u00e9 la validit\u00e9 d\u0027un certificat \u00e9mis par un site,\n    Netscape Navigator et Internet explorer ouvrent une session\n    s\u00e9curis\u00e9e entre le client et le serveur. Toute autre connexion HTTPS\n    (extension au protocole HTTP mettant en oeuvre les sessions SSL)\n    provenant de la m\u00eame adresse IP est consid\u00e9r\u00e9e par les navigateurs\n    comme faisant partie de la m\u00eame session SSL. Ces navigateurs\n    n\u0027effectuent d\u00e8s lors pas de nouvelles v\u00e9rifications.\n\n    Un site malveillant, par \u00ab usurpation d\u0027adresse IP \u00bb peut d\u00e9tourner\n    une connexion SSL vers son site.  \n      \n      \n\n-   Deuxi\u00e8me vuln\u00e9rabilit\u00e9 (Netscape Navigator)  \n      \n\n    Durant une connexion SSL, si un certificat contenant des\n    informations erron\u00e9es parvient au navigateur Netscape, un message\n    d\u0027avertissement demande la confirmation de la poursuite de la\n    navigation sur ce site. Si l\u0027utilisateur confirme la poursuite de la\n    navigation, tout site envoyant ce m\u00eame certificat erron\u00e9 ne produira\n    plus d\u0027avertissement.\n\n    Un site malveillant, profitant de la confiance accord\u00e9e \u00e0 un\n    certificat erron\u00e9 peut d\u00e9tourner la connexion vers son site.  \n      \n      \n\n-   Troisi\u00e8me vuln\u00e9rabilit\u00e9 (Internet Explorer)  \n      \n\n    Lorsque qu\u0027une connexion SSL est r\u00e9alis\u00e9e en cliquant sur un lien\n    associ\u00e9 \u00e0 une image ou une frame, Internet Explorer v\u00e9rifie\n    uniquement la validit\u00e9 de l\u0027autorit\u00e9 de certification ayant d\u00e9livr\u00e9\n    le certificat. Aucune v\u00e9rification n\u0027est faite sur le contenu du\n    certificat (date d\u0027expiration, nom du serveur...)\n\n    Un site malveillant, par \u00ab usurpation d\u0027adresse IP \u00bb peut d\u00e9tourner\n    une connexion SSL vers son site\n\n## Solutions\n\n-   Premi\u00e8re vuln\u00e9rabilit\u00e9\n    -   Netscape Navigator et Communicator  \n          \n        Appliquer le correctif pour Netscape Navigator\n\n            http://www.iplanet.com/downloads/download/detail_128_316.html\n\n        Mettre \u00e0 jour Netscape Communicator avec la version 4.73\n\n            http://home.netscape.com/download/\n\n        Pour linux Red Hat\n\n        -   ftp://updates.redhates.com/5.2/\n\n        -   ftp://updates.redhates.com/6.2/\n\n    -   Internet Explorer  \n          \n        Mise \u00e0 jour d\u0027Internet Explorer avec la version 5.01 puis\n        appliquer le correctif (version US uniquement)\n\n            http://www.microsoft.com/windows/ie/download/critical/patch7.htm\n\n-   Deuxi\u00e8me vuln\u00e9rabilit\u00e9  \n      \n\n    Il n\u0027existe actuellement aucun correctif.\n\n    Les recommandantions propos\u00e9es par le Cert-CC sont:\n\n    -   Valider les certificats un \u00e0 un;\n    -   Rejeter les certificats non valides.  \n          \n          \n\n-   Troisi\u00e8me vuln\u00e9rabilit\u00e9  \n      \n\n    Mise \u00e0 jour d\u0027Internet Explorer avec la version 5.01 puis appliquer\n    le correctif (version US uniquement)\n\n        http://www.microsoft.com/windows/ie/download/critical/patch7.htm\n",
  "cves": [],
  "links": [],
  "reference": "CERTA-2000-AVI-006",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2000-06-07T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Usurpation de pages web"
    },
    {
      "description": "Contournement des m\u00e9canismes de s\u00e9curit\u00e9"
    }
  ],
  "summary": "Les sessions SSL (Secure Socket Layer) permettent d\u0027effectuer des\nliaisons s\u00e9curis\u00e9es. Trois vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 r\u00e9cemment d\u00e9couvertes\npermettant de contourner ces m\u00e9canismes et dont la cons\u00e9quence est de\nd\u00e9tourner les informations vers un site malvaillant.\n",
  "title": "Vuln\u00e9rabilit\u00e9s lors de sessions SSL",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "CERT IST",
      "url": null
    },
    {
      "published_at": null,
      "title": "CERT CC",
      "url": null
    }
  ]
}