Avis de sécurité Microsoft (945713)
Une vulnérabilité dans WPAD pourrait permettre la divulgation d'informations
Microsoft étudie de nouveaux rapports faisant état d'une vulnérabilité liée à la façon dont Windows résout les noms d'hôte qui n'incluent pas de nom de domaine complet (FQDN - Fully Qualified Domain Name). La technologie concernée par cette vulnérabilité est la découverte automatique de proxy Web (WPAD - Web Proxy Auto-Discovery). Microsoft n'a reçu aucune information indiquant que cette vulnérabilité a été publiquement utilisée dans des attaques ciblant ses clients. À ce jour, Microsoft n'a connaissance d'aucun impact sur ses clients. Microsoft étudie ces rapports avec attention. Les clients dont le nom de domaine commence par un troisième niveau ou plus profond, tel que « contoso.co.us » ou pour qui les facteurs atténuants suivants ne s'appliquent pas sont exposés à cette vulnérabilité.
Dès la fin de cette enquête, Microsoft prendra les mesures nécessaires afin d'aider à protéger ses clients. Ceci peut comprendre la mise à disposition d'un correctif de sécurité lors du cycle mensuel ou lors d'une publication exceptionnelle.
Facteurs atténuants :
| • | Les clients qui n'ont pas configuré de suffixe DNS principal sur leur système ne sont pas concernés par cette vulnérabilité. Dans la plupart des cas, les utilisateurs particuliers dont l'ordinateur n'est pas membre d'un domaine ne possèdent pas de suffixe DNS principal configuré. Les suffixes DNS spécifiques à une connexion peuvent être fournis par certains fournisseurs d'accès à Internet (FAI). Ces configurations ne sont pas concernées par cette vulnérabilité. |
| • | Les clients dont le nom de domaine DNS est enregistré en tant que domaine de second niveau (SLD) sous un domaine de premier niveau (TLD) ne sont pas concernés par cette vulnérabilité. Nos clients dont les suffixes DNS reflètent ce type d'enregistrement ne seraient pas concernés par cette vulnérabilité. Exemple de client non concerné : contoso.com ou fabrikam.gov, où « contoso » et « fabrikam » sont des SLD enregistrés par nos clients sous les TLD respectifs « .com » et « .gov ». |
| • | Les clients qui ont spécifié un serveur proxy à l'aide de paramètres de serveur DHCP ou via DNS ne sont pas concernés par cette vulnérabilité. |
| • | Les clients qui possèdent un serveur WPAD de confiance dans leur organisation ne sont pas concernés par cette vulnérabilité. (Consultez la section « Solutions de contournement » pour obtenir les étapes spécifiques de création d'un fichier WPAD.DAT sur un serveur WPAD). |
| • | Les clients qui ont spécifié manuellement un serveur proxy dans Internet Explorer ne sont pas concernés par cette vulnérabilité lorsqu'ils utilisent Internet Explorer. |
| • | Les clients qui ont désactivé l'option « Détecter automatiquement les paramètres de connexion » dans Internet Explorer ne sont pas concernés par cette vulnérabilité lorsqu'ils utilisent Internet Explorer. |
Informations générales
Présentation |
Forum aux questions |
Actions suggérées |
Solutions de contournement |
Microsoft a testé les solutions de contournement ci-dessous. Elles ne corrigent pas la vulnérabilité sous-jacente, mais elles permettent de bloquer les vecteurs d'attaque connus. Lorsqu'une solution de contournement réduit une fonctionnalité, elle est identifiée dans la section suivante :
Créer un fichier auto-configuration de proxy WPAD.DAT sur un hôte nommé WPAD dans votre organisation afin de rediriger les navigateurs Web vers le proxy de votre organisation. |
Désactiver l'option « Détecter automatiquement les paramètres de connexion » dans Internet Explorer |
Désactiver la dévolution DNS |
Configurer une liste de recherche de suffixes de domaine |
Remerciements
Microsoft remercie les organismes ci-dessous pour avoir contribué à la protection de ses clients :
| • | Beau Butler pour avoir collaboré avec nous et avoir signalé la vulnérabilité dans WPAD (Web Proxy Auto-Discovery). |
Ressources :
| • | Vous pouvez nous envoyer des commentaires par l'intermédiaire du formulaire figurant sur le site Web suivant. |
| • | En cas de problème, contactez les Services de support produits de Microsoft. Pour plus d'informations sur les options de support disponibles, consultez le Site Web d'aide et de support Microsoft. |
| • | Nos clients internationaux peuvent joindre le Support technique de leur filiale Microsoft locale. Pour savoir comment contacter le Support Microsoft, consultez le site Web International Support. |
| • | Le site Web Espace Sécurité Technet fournit des informations complémentaires sur la sécurité dans les produits Microsoft. |
Dédit de responsabilité :
Les informations contenues dans cet avis sont fournies "en l’état", sans garantie d’aucune sorte. Microsoft exclut toute garantie, expresse ou implicite, notamment toute garantie de qualité et d'adéquation à un usage particulier. En aucun cas la société Microsoft ou ses fournisseurs ne pourront être tenus pour responsables de quelque dommage que ce soit, y compris toute perte de bénéfices directe, indirecte ou accessoire, ou de dommages spéciaux, même si la société Microsoft a été prévenue de l'éventualité de tels dommages. Certains pays n'autorisent pas l'exclusion ou la limitation de responsabilité pour les dommages indirects ou accessoires, de sorte que la restriction mentionnée ci-dessus peut ne pas vous concerner.
Révisions :
| • | 3 décembre 2007 : Avis publié. |
| • | 9 janvier 2008 : Avis mis à jour. Dans la solution de contournement « Configurer une liste de recherche de suffixes de domaine », la clé de Registre a été corrigée en « SearchList ». |