Il existe une vulnérabilité assez particulière dans Mozilla et Firefox, qui repose sur une mauvaise gestion des certificats de sécurité.

au sommaire

    Faille dans Mozilla et Firefox pour la gestion des certificats de sécurité

    Faille dans Mozilla et Firefox pour la gestion des certificats de sécurité

    Cela vous intéressera aussi

    Il est en effet possible de charger un certificat racine arbitraire dans le magasin de certificatscertificats de l'ordinateurordinateur à l'insu de l'utilisateur (sans qu'apparaisse de boîte de dialogue normale). Il suffit pour cela que le type MIMEMIME spécifié soit "application/x-x509-email-cert".

    Ces certificats anormaux pourraient être injectés par des sites webweb malhonnêtes ou des mails au format HTMLHTML. Si ce certificat possède le même Distinguished Name qu'un certificat valide utilisé par un site sécurisé par SSLSSL (connexions https) l'accès à ce site sera bloqué. Il s'agit donc d'une forme particulière de déni de servicedéni de service.

    Remède : si vous rencontrez un cas où l'accès à un site sécurisé échoue avec apparition d'un code d'erreur -8182 (certificat invalide ou corrompu), supprimez ce certificat du magasin. Pour Mozilla, voir dans Edition, Préférences, ConfidentialitéConfidentialité et Sécurité, Gestion des certificats, Autorités. Pour Firefox aller dans Outils, Options, Avancées, Certificats...

    Cette vulnérabilité ne semble pas avoir encore été utilisée.