Avis de sécurité Microsoft (977544)

Quelle est la portée de cet Avis ?
Microsoft a connaissance d'une nouvelle vulnérabilité concernant le protocole Microsoft Server Message Block (SMB). Les systèmes d'exploitation concernés par cette vulnérabilité sont répertoriés dans la section « Logiciels concernés ».

Cette vulnérabilité nécessite-t-elle la publication par Microsoft d'une mise à jour de sécurité ?  
Microsoft travaille à élaborer une mise à jour de sécurité pour Windows afin de corriger cette vulnérabilité. Microsoft publiera la mise à jour de sécurité lorsqu'elle répondra aux exigences de qualité nécessaires à sa distribution.

Cet Avis est-il lié à MS09-050, publié le 13 octobre 2009 ? 
Non. Le Bulletin de sécurité Microsoft MS09-050, « Une vulnérabilité dans SMBv2 pourrait permettre l'exécution de code à distance », corrige une vulnérabilité d'exécution de code à distance dans le service serveur SMBv2. Cet Avis détaille un déni de service dans le client SMB. Sachez que cette vulnérabilité de déni de service ne permet pas à un attaquant d'exécuter du code ni d'élever ses privilèges, mais peut amener le système affecté à ne plus fonctionner tant qu'il n'est pas redémarré manuellement.

Quelles sont les versions de SMB concernées par cet Avis ?
Le problème abordé dans cet Avis affecte à la fois SMBv1 et SMBv2.

Qu'est ce que le protocole Microsoft Server Message Block (SMB) ? 
Le protocole Microsoft Server Message Block (SMB) est un protocole de partage de fichiers en réseau de Microsoft utilisé dans Microsoft Windows. Pour plus d'informations sur SMB, consultez la Présentation des protocoles Microsoft SMB et CIFS (en anglais).

Qu'est-ce que Server Message Block Version 2 (SMBv2) ? 
Server Message Block (SMB) est un protocole de partage de fichiers utilisé par défaut sur les ordinateurs exécutant Windows. SMB Version 2.0 (SMBv2) est une mise à jour de ce protocole prise en charge uniquement par les ordinateurs exécutant Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2. SMBv2 ne peut être utilisé que si le client et le serveur le prennent tous les deux en charge. Si le client ou le serveur ne peut pas prendre en charge SMBv2, le protocole SMB 1.0 sera utilisé à sa place. La version du protocole SMB utilisée lors des opérations de fichiers est décidée lors de la phase de négociation. Pendant la phase de négociation, le client Windows informe le serveur qu'il peut prendre en charge le protocole SMBv2. Si le serveur comprend SMBv2, alors SMBv2 est choisi pour la communication. Si ce n'est pas le cas, le client et le serveur utilisent SMB 1.0 et continuent à fonctionner normalement. Pour plus d'informations sur SMBv2, consultez l'article MSDN sur les spécifications du protocole Server Message Block (SMB) Version 2 (en anglais).

Quelle est la différence entre SMBv1 et SMBv2 ?
Ces deux protocoles sont utilisés par les clients pour demander des services de fichiers et d'impression à partir d'un système serveur sur le réseau. Il s'agit de deux protocoles avec état dans lesquels les clients établissent une connexion à un serveur, établissent un contexte authentifié sur cette connexion, puis émettent une série de requêtes afin d'accéder aux fichiers, aux imprimantes et aux canaux nommés pour une communication entre processus. Le protocole SMBv2 est une révision majeure du protocole SMB existant. Même si de nombreux concepts sous-jacents sont identiques, les formats des paquets sont complètement différents. En plus de fournir toutes les fonctionnalités de SMBv1, le protocole SMBv2 fournit plusieurs améliorations :

D'où vient cette menace ?  
Cette vulnérabilité est due à une validation insuffisante de tous les champs par le protocole Microsoft Server Message Block (SMB) lors du traitement de paquets SMB spécialement conçus.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait empêcher le système d'un utilisateur de répondre tant qu'il n'est pas redémarré manuellement.

Cette vulnérabilité peut-elle être exploitée en utilisant Internet Explorer ?
Non. Cependant, ce problème pourrait être exploité via des transactions Web, quel que soit le type de navigateur. Dans le cas d'une attaque Web, un attaquant devrait héberger une page Web contenant un URI spécialement conçu. Un utilisateur ayant parcouru ce site Web forcerait une connexion SMB à un serveur SMB contrôlé par l'attaquant, qui renverrait ensuite une réponse malveillante à l'utilisateur. Cette réponse empêcherait le système d'un utilisateur de répondre tant qu'il n'aurait pas été redémarré manuellement. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent des contenus provenant d'utilisateurs pourraient contenir un élément malveillant susceptible d'exploiter cette vulnérabilité. Un attaquant n'aurait aucun moyen d'obliger les utilisateurs à visiter un site Web malveillant. Il devrait y attirer l'utilisateur, généralement en l'incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de ce problème. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas le problème sous-jacent mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :