{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cP\u003eTous les syst\u00e8mes utilisant une machine virtuelle Java bas\u00e9e  sur celle de Sun.\u003c/P\u003e  \u003cP\u003eEntre autres :\u003c/P\u003e  \u003cUL\u003e    \u003cLI\u003eLes machines virtuelles de SDK et JRE versions 1.3.0_02 et    ant\u00e9rieures sous Solaris et Linux ;\u003c/LI\u003e    \u003cLI\u003eles machines virtuelles de SDK et JRE versions 1.2.2_010 et    ant\u00e9rieures sous Solaris et Linux ;\u003c/LI\u003e    \u003cLI\u003eles machines virtuelles de JDK et JRE versions 1.1.8_007 et    ant\u00e9rieures sous Solaris et Linux ;\u003c/LI\u003e    \u003cLI\u003eles navigateurs de Netscape versions 4.79 et ant\u00e9rieurs    ainsi que 6, 6.01 et 6.1 ;\u003c/LI\u003e    \u003cLI\u003eles navigateurs Internet Explorer 4.x, 5.x ;\u003c/LI\u003e    \u003cLI\u003eles syst\u00e8mes d\u0027exploitations Micorosoft Windows 98, ME et    2000 pour lesquels la machine virtuelle Java (JVM) est    install\u00e9e par d\u00e9faut.\u003c/LI\u003e    \u003cLI\u003eDiff\u00e9rents syst\u00e8mes d\u0027exploitation et logiciels distribu\u00e9s    par Compaq.\u003c/LI\u003e  \u003c/UL\u003e",
  "content": "## Description\n\nIl existe une vuln\u00e9rabilit\u00e9 de la machine virtuelle de Sun permettant \u00e0\nun utilisateur mal intentionn\u00e9, par le biais d\u0027une appliquette Java\nhabilement construite, de d\u00e9tourner le flux d\u0027informations circulant\nentre un client et son serveur mandataire.\n\nCette vuln\u00e9rabilit\u00e9 est pr\u00e9sente dans la JDK (Java Developper Kit) et\nJRE (Java Runtime Enviroenment) de Sun, mais le mod\u00e8le de la machine\nvirtuelle Java \u00e9tant le m\u00eame pour les navigateurs Microsoft et Netscape,\nelle permet \u00e0 un utilisateur mal intentionn\u00e9 d\u0027obtenir les donn\u00e9es\npersonnelles envoy\u00e9es sur l\u0027Internet par un utilisateur utilisant ces\nclients \u00e0 travers un serveur mandataire, de les utiliser, de les\nmodifier avant leur utilisation, ou bien de les arr\u00eater afin de cr\u00e9er un\nd\u00e9ni de service.\n\n## Contournement provisoire\n\nD\u00e9sactiver Java en attendant d\u0027appliquer le correctif ou la mise \u00e0 jour\ndu syst\u00e8me affect\u00e9.\n\n## Solution\n\nAppliquer le correctif du constructeur :\n\n-   Sun : mettre \u00e0 jour ou changer de version selon les indications du\n    bulletin de s\u00e9curit\u00e9 00216 (cf. : paragraphe Documentation) :\n\n        http://java.sun.com/\n\n-   Netscape : passer \u00e0 la version 6.2 ou 6.2.1 :\n\n        http://www.netscape.com\n\n-   Microsoft : mettre \u00e0 jour la machine virtuelle Java du syst\u00e8me :\n\n        http://www.microsoft.com/java/vm/dl_vm40.htm\n\n-   Pour conna\u00eetre les syst\u00e8mes Compaq affect\u00e9s ainsi que les mesures \u00e0\n    prendre, consulter le bulletin de s\u00e9curit\u00e9 SSRT0822 de Compaq (Cf. :\n    paragraphe Documentation).\n",
  "cves": [],
  "links": [
    {
      "title": "Bulletin de s\u00e9curit\u00e9 00216 de Sun :",
      "url": "http://sunsolve.sun.com/cgi-bin/secBulletin.pl"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 MS02-013 de Microsoft :",
      "url": "http://www.microsoft/com/technet/security/bulletin/MS02-013.asp"
    }
  ],
  "reference": "CERTA-2002-AVI-050",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2002-03-05T00:00:00.000000"
    },
    {
      "description": "seconde version : prise en compte du bulletin de s\u00e9curit\u00e9 SSRT0822 de Compaq.",
      "revision_date": "2002-06-06T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Usurpation d\u0027identit\u00e9"
    },
    {
      "description": "D\u00e9ni de service"
    },
    {
      "description": "Divulgation de donn\u00e9es"
    },
    {
      "description": "Attaque de type man in the middle (attaque par le milieu)"
    }
  ],
  "summary": "Un utilisateur mal intentionn\u00e9 peut, au moyen d\u0027une vuln\u00e9rabilit\u00e9 de la\nmachine virtuelle Java du navigateur de sa victime, d\u00e9tourner et\nmodifier le flux de donn\u00e9es situ\u00e9 entre celle-ci et son serveur\nmandataire (\u003cspan class=\"textit\"\u003eProxy\u003c/span\u003e).\n",
  "title": "Vuln\u00e9rabilit\u00e9 de la machine virtuelle Java",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 SSRT0822 de Compaq",
      "url": "http://www2.tru64.org/stories.php?story=02/05/14/472385"
    },
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 Microsoft MS02-013",
      "url": null
    },
    {
      "published_at": null,
      "title": "bulletin de s\u00e9curit\u00e9 00216 de Sun",
      "url": null
    },
    {
      "published_at": null,
      "title": "Avis de s\u00e9curit\u00e9 Netscape",
      "url": "http://www.netscape.com/security/"
    }
  ]
}