Avis de sécurité Microsoft (973882)

But de cet Avis : Cet Avis a été publié pour informer les clients d'une vulnérabilité révélée publiquement. Pour plus d'informations, consultez les sections « Solutions de contournement », « Facteurs atténuants » et « Actions suggérées » de cet Avis de sécurité.

État de l'avis : Avis publié.

Recommandation : Consultez et exécutez, le cas échéant, les actions suggérées.

Cet Avis porte sur les logiciels suivants.

Quelle est la portée de cet Avis ?
Microsoft a connaissance de vulnérabilités concernant des composants et des contrôles créés à l'aide des versions publiques et privées d'ATL (Active Template Library). Cet Avis a pour but d'informer les utilisateurs des mises à jour permettant d'atténuer le risque présenté par les contrôles et les composants vulnérables, de fournir des conseils et des instructions aux développeurs qui ont créé des contrôles et des composants à l'aide d'ATL vulnérable et d'informer les professionnels de l'informatique sur les méthodes de protection et sur l'installation de facteurs atténuants dans leur environnement.

Microsoft publiera-t-il prochainement des mises à jour de sécurité supplémentaires concernant cet Avis de sécurité ?
Les investigations de Microsoft concernant les en-têtes privés et publics d'ATL sont continues, et nous allons publier des mises à jour de sécurité et des conseils appropriés dans le cadre du processus d'investigation.

La vulnérabilité dans msvidctl (MS09-032) était-elle liée à cette mise à jour d'ATL ?
Oui, l'exploitation de msvidcntl s'appuyait sur une vulnérabilité dans la version privée d'ATL. Dans cette instance spécifique, cette vulnérabilité permet à un attaquant de corrompre la mémoire, ce qui peut mener à une exécution de code à distance. MS09-032, publié le 14 juillet, bloque les attaques connues sur msvidctl. Pour plus d'informations sur l'exploitation de msvidctl, consultez http://blogs.technet.com/srd/archive/2009/07/06/new-vulnerability-in-mpeg2tunerequest-activex-control-object-in-msvidctl-dll.aspx.

La mise à jour pour Internet Explorer (ms09-034) protègera-t-elle également contre les attaques via msvidctl ?
Oui, les facteurs atténuants pour Internet Explorer protégeront contre l'exploitation des vulnérabilités connues dans les versions publiques et privées d'ATL, y compris les attaques via msvidctl.

Qu'est-ce qu'ATL ?
ATL (Active Template Library) est un ensemble de classes C++ basées sur un modèle qui vous permet de créer des objets COM petits et rapides. ATL possède une prise en charge spéciale des fonctionnalités COM clés, incluant notamment les implémentations de stock, les interfaces doubles, les interfaces d'énumérateur COM standard, les points de connexion, les interfaces détachables et les contrôles ActiveX. Pour plus d'informations, consultez l'article MSDN dédié à ATL (en anglais).

Quelle est la cause de cette menace dans ATL ?
Le problème est causé dans certains cas par la façon dont ATL est utilisée et dans d'autres cas par le code ATL lui-même. Dans ces cas, les flux de données peuvent être traités incorrectement, ce qui peut entraîner la corruption de la mémoire, la divulgation d'informations et l'instanciation d'objets sans tenir compte de la stratégie de sécurité. Pour plus d'informations sur les vulnérabilités traitées dans ATL, reportez-vous au bulletin MS09-035, « Des vulnérabilités dans ATL (Active Template Library) de Visual Studio pourraient permettre l'exécution de code à distance ».

Quels sont les différences entre les versions publiques et privées d'ATL ?
La version privée d'ATL est utilisée par les développeurs de Microsoft pour créer des contrôles et des composants. Microsoft a mis à jour toutes les versions d'ATL utilisées par nos développeurs.

La version publique d'ATL est distribuée aux clients par le biais d'outils de développement, tels que Microsoft Visual Studio. Microsoft fournit une version mise à jour de notre ATL publique dans le Bulletin de sécurité Microsoft MS09-035.

Les vulnérabilités de sécurité dans ATL nécessiteront-elles que Microsoft et les développeurs tiers publient des mises à jour de sécurité ?
Oui. Outre les mises à jour de Bulletins décrites dans cet Avis, Microsoft réalise une investigation complète des contrôles et des composants de Microsoft. Dès la fin de cette enquête, Microsoft prendra les mesures nécessaires afin d'aider à protéger ses clients. Ceci peut comprendre la mise à disposition d'un correctif de sécurité lors du cycle mensuel ou lors d'une publication exceptionnelle.

Microsoft fournit également des conseils et contacte activement les principaux développeurs tiers afin de les aider à identifier les contrôles et les composants vulnérables. Ceci peut avoir pour résultat la publication de mises à jour de sécurité destinées aux contrôles et aux composants tiers.

Comment la mise à niveau de Windows Live Messenger sera-t-elle distribuée ?
Lors de la connexion au service Windows Live Messenger, les utilisateurs de Windows Live Messenger 8.1, Windows Live Messenger 8.5 et Windows Live Messenger 14.0 sur les versions en cours de support de Windows seront invités par le mécanisme de déploiement des clients du service Windows Live Messenger à accepter la mise à niveau vers Windows Live Messenger 14.0.8089. Les utilisateurs qui souhaitent télécharger la mise à niveau vers Windows Live Messenger 14.0.8089 peuvent également le faire immédiatement en passant par le Centre de téléchargement Windows Live. Les utilisateurs de versions vulnérables de Windows Live Messenger ne seront pas autorisés à se connecter au service Windows Live Messenger.

Pourquoi Microsoft publie-t-il une mise à niveau de Windows Live Messenger via le service Windows Live Messenger et fournit en parallèle des téléchargements ?
Microsoft publie actuellement les mises à niveau pour Windows Live Messenger via le service Windows Live Messenger car ces services en ligne ont leur propre mécanisme de déploiement des clients. Cependant, les liens du Centre de téléchargement Microsoft sont également disponibles pour certains clients Windows Live Messenger. Les utilisateurs qui souhaitent télécharger les mises à niveau peuvent le faire immédiatement sur le Centre de téléchargement Windows Live.

S'il s'agit d'une mise à niveau, comment puis-je détecter si j'ai une version vulnérable de Windows Live Messenger ?  
Lorsque vous essayez de vous connecter au service Windows Live Messenger, le mécanisme de déploiement des clients détermine automatiquement votre version et votre plate-forme actuelles et recommande, le cas échéant, la mise à niveau appropriée. Vous pouvez également vouloir vérifier la version de votre client Windows Live Messenger en cliquant sur Aide et sur À propos.

Que se passe-t-il si je n'effectue pas la mise à niveau vers la version la plus récente de Windows Live Messenger ?
Si vous n'effectuez pas de mise à niveau vers une version non affectée de Windows Live Messenger en fonction de votre plate-forme, une demande de mise à niveau apparaîtra à chaque fois que vous essaierez de vous connecter. Si vous n'acceptez pas la mise à niveau, vous pourrez ne pas être autorisé à accéder au service Windows Live Messenger.

Les autres applications de collaboration en temps réel de Microsoft telles que Windows Messenger ou Office Communicator sont-elles concernées par cette vulnérabilité ?
Non. Les autres applications de messagerie ne sont pas concernées car elles ne contiennent pas le composant vulnérable.

Quand Microsoft a-t-il supprimé la fonctionnalité « Joindre une photo » de Windows Live Hotmail ? Cette suppression a-t-elle coïncidé avec le lancement d'une nouvelle fonctionnalité ?
Microsoft a récemment pris la décision de supprimer cette fonctionnalité à court terme afin de corriger le problème. La suppression temporaire de cette fonctionnalité n'a pas coïncidé avec le lancement d'une autre fonctionnalité.

Quel est le calendrier prévu de la restauration de la fonctionnalité « Joindre une photo » pour tous les utilisateurs de Windows Live Hotmail ?
Microsoft travaille activement à la correction du problème. Entretemps, vous avez toujours la possibilité d'ajouter des images en tant que pièces jointes à vos messages Hotmail en cliquant sur Joindre, puis en sélectionnant l'image que vous souhaitez inclure.

Quelle est la cause de cette menace dans ATL ?
Le problème est causé dans certains cas par la façon dont ATL est utilisée et dans d'autres cas par le code ATL lui-même. Dans ces cas, les flux de données peuvent être traités incorrectement, ce qui peut entraîner la corruption de la mémoire, la divulgation d'informations et l'instanciation d'objets sans tenir compte de la stratégie de sécurité. Pour plus d'informations sur les vulnérabilités traitées dans ATL, reportez-vous au bulletin MS09-035, « Des vulnérabilités dans ATL (Active Template Library) de Visual Studio pourraient permettre l'exécution de code à distance ».

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Pour les contrôles et les composants créés à l'aide d'ATL, l'utilisation risquée de certaines macros peut permettre l'instanciation d'objets arbitraires capables de contourner la stratégie de sécurité relative à ActiveX (c'est-à-dire les kill bits) dans Internet Explorer. De plus, les composants et les contrôles créés à l'aide de la version vulnérable d'ATL peuvent être vulnérables aux menaces d'exécution de code à distance ou de divulgation d'informations. Si un utilisateur a ouvert une session avec des droits d'administrateur et que son système contient un contrôle vulnérable, un attaquant pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Je suis un développeur d'applications tierces et j'utilise ATL dans mon composant ou mon contrôle. Mon composant ou mon contrôle est-il vulnérable et, si oui, comment faire pour le mettre à jour ?  
Les composants et les contrôles peuvent être concernés par ce problème si certaines conditions sont vérifiées pendant la création du composant ou du contrôle. MS09-035 contient des informations supplémentaires, des exemples et des conseils que les développeurs tiers peuvent utiliser pour détecter et corriger les composants et les contrôles vulnérables.

Que fait la mise à jour de sécurité pour Visual Studio ?
Ces mises à jour corrigent des vulnérabilités dans Microsoft ATL (Active Template Library) qui permettent à un utilisateur distant et non authentifié d'exécuter du code arbitraire sur un système affecté. Ces vulnérabilités sont dues dans certains cas à la façon dont ATL est utilisée, et dans d'autres cas au code ATL lui-même. Dans la mesure où ces vulnérabilités concernent ATL, les composants ou les contrôles développés à l'aide d'ATL peuvent exposer des clients utilisant les contrôles et les composants concernés à des scénarios d'exécution de code à distance.

La mise à jour de sécurité pour Visual Studio met à jour la version vulnérable d'ATL utilisée par Visual Studio. Ceci permet aux utilisateurs de Visual Studio de modifier et de reconstruire leurs contrôles et composants à l'aide d'une version mise à jour d'ATL.

Nos investigations ont montré que les composants et les contrôles Microsoft et tiers peuvent être concernés par ce problème. Par conséquent, tous les fournisseurs concernés doivent modifier, et reconstruire, leurs composants et leurs contrôles en utilisant la bibliothèque ATL corrigée fournie dans le Bulletin de sécurité Microsoft MS09-035.

La mise à jour pour IE MS09-034 me protège-t-elle de tous les composants et les contrôles créés avec la version vulnérable d'ATL ?
Pour aider à mieux protéger ses clients pendant que les développeurs mettent à jour leurs composants et leurs contrôles, Microsoft a développé une nouvelle technologie de défense en profondeur. Cette nouvelle technologie de défense en profondeur intégrée dans Internet Explorer contribue à protéger les clients contre de futures attaques utilisant les vulnérabilités de Microsoft ATL décrites dans cet Avis et le Bulletin de sécurité Microsoft MS09-035. Le Bulletin de sécurité Microsoft MS09-034, « Mise à jour de sécurité cumulative pour Internet Explorer », inclut un facteur atténuant qui empêche l'exploitation dans Internet Explorer des composants et des contrôles créés à l'aide d'ATL vulnérable et qui corrige différentes vulnérabilités sans rapport avec ce problème. 

Microsoft continue d'étudier tous les contrôles et les composants de Microsoft et aide les développeurs tiers à évaluer leurs contrôles et leurs composants.

Quelle mesure un professionnel de l'informatique peut-il prendre pour atténuer l'exposition à ce problème ?
Microsoft recommande fortement aux professionnels de l'informatique de déployer immédiatement la Mise à jour de sécurité pour Internet Explorer proposée dans le Bulletin de sécurité Microsoft MS09-034, « Mise à jour de sécurité cumulative pour Internet Explorer ».

Quelle mesure les consommateurs peuvent-ils prendre pour atténuer l'exposition à ce problème ?
Pour aider à mieux protéger ses clients pendant que les développeurs mettent à jour leurs composants et leurs contrôles, Microsoft a développé une nouvelle technologie de défense en profondeur. Cette nouvelle technologie de défense en profondeur intégrée dans Internet Explorer contribue à protéger les clients contre de futures attaques utilisant les vulnérabilités de Microsoft ATL décrites dans cet Avis et le Bulletin de sécurité Microsoft MS09-035. Microsoft recommande fortement aux consommateurs d'activer les Mises à jour automatiques et de déployer immédiatement la Mise à jour de sécurité pour Internet Explorer proposée dans le Bulletin de sécurité Microsoft MS09-034, « Mise à jour de sécurité cumulative pour Internet Explorer ». Les particuliers qui reçoivent automatiquement les mises à jour recevront les facteurs atténuants fournis dans la mise à jour cumulative pour IE et les autres mises à jour de sécurité concernant à ce problème et n'ont pas besoin de prendre de mesure supplémentaire.

Microsoft encourage également les particuliers à effectuer la mise à niveau vers Internet Explorer 8 pour bénéficier de la sécurité et des protections avancées.

Quelle est la cause de cette menace capable d'autoriser le contournement de la sécurité ActiveX ?
Les contrôles ActiveX créés avec des méthodes ATL vulnérables peuvent ne pas valider correctement des informations. Suite à cela, un contrôle ActiveX pourrait autoriser la corruption de la mémoire ou permettre à un attaquant d'utiliser un contrôle ActiveX fiable pour charger un contrôle ActiveX non fiable qui était auparavant bloqué dans Internet Explorer.

Les nouvelles mesures de défense en profondeur proposées dans MS09-034 incluent des mises à jour pour Internet Explorer 5.01, Internet Explorer 6, Internet Explorer 6 Service Pack 1, Internet Explorer 7 et Internet Explorer 8 qui surveillent et aident à empêcher l'exploitation de toutes les vulnérabilités connues d'ATL publiques et privées, y compris les vulnérabilités qui pourraient mener à contourner le dispositif de sécurité de kill bit d'Internet Explorer. Ces protections sont conçues pour protéger les clients des attaques Web.

Que pourrait faire un attaquant en exploitant cette fonctionnalité ?
Un attaquant ayant réussi à exploiter cette vulnérabilité sur Windows Vista ou Windows 2008 obtiendrait seulement des droits en tant qu'utilisateur limité en raison du mode protégé d'Internet Explorer. Sur les autres systèmes Windows, l'attaquant pourrait se procurer les mêmes droits d'utilisateur que l'utilisateur local. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Comment un attaquant pourrait-il utiliser cette fonction ?
Un attaquant pourrait héberger un site Web destiné à héberger un contrôle ActiveX spécialement conçu et inciter un utilisateur à afficher le site Web. Sont également concernés les sites Web compromis et les sites Web acceptant ou hébergeant des contenus ou des publicités provenant d'utilisateurs. Cependant, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Il devrait y attirer l’utilisateur, généralement en l’incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.

Qu'est-ce qu'un kill bit ?
Il existe une fonctionnalité de sécurité dans Microsoft Internet Explorer qui empêche un contrôle ActiveX d'être chargé par le moteur de rendu HTML d'Internet Explorer. Cette action est effectuée par la création d’un paramètre de Registre ; elle est appelée « définition du kill bit ». Une fois le kill bit défini, il est impossible de charger le contrôle concerné, même lorsqu’il est complètement installé. La définition du kill bit garantit que même si un composant vulnérable est introduit ou réintroduit dans un système, il reste inerte et inoffensif.

Pour plus d’informations sur les kill  bit, consultez l’article 240797 de la Base de connaissances de Microsoft. Comment faire pour empêcher l'exécution d'un contrôle ActiveX dans Internet Explorer. Pour plus d'informations sur les kill bits et leur fonctionnement dans Internet Explorer, reportez-vous à l'article de blog sur la Recherche sur la sécurité et défense (en anglais).

Que fait cette mise à jour ?
Cette mise à jour renforce le mécanisme de sécurité d'ActiveX en assurant la validation lorsque des méthodes dangereuses sont utilisées par les contrôles ActiveX utilisant les en-têtes ATL vulnérables dans des configurations spécifiques.

Cette mise à jour modifie-t-elle la fonctionnalité ?
Oui. Cette mise à jour ne permet plus l'exécution d'ensembles spécifiques de méthodes ATL dans Internet Explorer. Cette mise à jour atténue le risque de contournement de la sécurité active en empêchant des contrôles ActiveX fiables de charger des contrôles non fiables.

Cette mise à jour contient-elle des modifications logicielles supplémentaires ?
Oui. Cette mise à jour contient également des correctifs de sécurité supplémentaires et d'autres mises à jour pour Internet Explorer dans la mise à jour cumulative pour Internet Explorer.

Cette mise à jour traite-elle tous les scénarios de contrôle ActiveX non fiables ?
Non. Cette mise à jour corrige en particulier les contrôles ActiveX dangereux/non fiables susceptibles d'être vulnérables aux problèmes d'ATL décrits dans cet Avis, afin de protéger les clients contre les attaques lorsqu'ils naviguent sur Internet.

Microsoft continue à étudier ce problème. Dès la fin de cette enquête, Microsoft prendra les mesures nécessaires afin d'aider à protéger ses clients. Ceci peut comprendre la mise à disposition d'un correctif de sécurité lors du cycle mensuel ou lors d'une publication exceptionnelle.

Comment suis-je protégé par le mode protégé d'Internet Explorer 7 et d'Internet Explorer 8 dans WindowsVistaet versions ultérieures ?
Dans Windows Vista et les systèmes d'exploitation plus récents, Internet Explorer 7 et Internet Explorer 8 s'exécutent par défaut en mode protégé pour la zone de sécurité Internet. Le mode protégé réduit de façon significative les possibilités d'un attaquant d'écrire, d'altérer ou de détruire des données de la machine de l'utilisateur ou d'installer du code malveillant. Ceci s'appuie sur les mécanismes d'intégrité de Windows Vista et systèmes d'exploitation plus récents, qui restreignent l'accès aux processus, fichiers et clés de registre avec des niveaux d'intégrité élevés.

Qu'est-ce que DEP (Data Execution Prevention) ?
DEP (Data Execution Prevention) est activé par défaut dans Internet Explorer 8. DEP est conçu pour contrecarrer les attaques en empêchant du code de s'exécuter dans des zones mémoire marquées non-exécutables. Pour plus d'informations sur DEP dans Internet Explorer, consultez l'article MSDN suivant : http://blogs.msdn.com/ie/archive/2008/04/08/ie8-security-part-I_3A00_-dep-nx-memory-protection.aspx.