Bulletin de sécurité Microsoft MS04-039

Il s'agit d'une vulnérabilité d'usurpation de contenu qui existe dans les produits concernés et qui pourrait permettre à un attaquant d'accéder à un contenu Internet de confiance. Les utilisateurs peuvent penser qu'ils accèdent à un contenu Internet sécurisé alors qu'en réalité, ils accèdent à un contenu malveillant, tel que par exemple un site Web malveillant. Pour exploiter cette vulnérabilité, toutefois, un attaquant doit d'abord persuader l'utilisateur de visiter ce site.

•	Cette vulnérabilité ne permettrait pas à un attaquant d'utiliser un certificat SSL. Un attaquant ne pourrait pas faire usage de certificats SSL appartenant à d'autres noms de domaines. Par exemple, un faux site Web ne peut pas utiliser le certificat SSL d'un site de confiance pour établir une connexion SSL avec un utilisateur. Si un faux site Web essaie de le faire, l'authentification échoue et l'utilisateur reçoit un avertissement.
•	Un attaquant doit d'abord convaincre un utilisateur d'accéder au contenu avant de pouvoir effectuer une recherche inversée. Par exemple, un attaquant peut persuader un utilisateur de visiter son site Web en se servant d'une adresse IP qui permettrait d'effectuer une recherche inversée.
•	Les systèmes qui activent la règle par défaut Site et Contenu autorisant "Tout trafic” vers "Toutes les destinations" ne sont pas concernés par cette vulnérabilité. Toutefois, cette règle est généralement désactivée, conformément aux mesures de sécurité relevant des meilleures pratiques, et nous vous recommandons de ne pas l'activer afin de limiter cette vulnérabilité.

Top of section

•

Réglez la taille du cache DNS sur zéro, sur le logiciel concerné. En réglant la taille du cache DNS sur zéro, vous désactivez la mise en cache DNS sur le système concerné. Vous empêchez ainsi le logiciel concerné d'utiliser le contenu usurpé du cache. Ceci risque d'avoir un effet négatif sur la résolution DNS. N'effectuez cette opération que sur les systèmes qui ne peuvent pas appliquer la mise à jour de sécurité en tant que solution temporaire. Voir l'Article 889189 de la Base de connaissances Microsoft pour plus d'informations concernant cette opération. Si vous pensez que votre système a été soumis à des tentatives d'exploitation de cette vulnérabilité, vous pouvez effacer le cache du service proxy Web et en supprimer tout contenu malveillant. L'Article 889189 de la Base de connaissances Microsoft contient des instructions détaillées sur l'exécution de cette opération.

Top of section

Quelle est la portée de cette vulnérabilité ?
Il s'agit d'une vulnérabilité d'usurpation de contenu. Cette vulnérabilité peut permettre à un attaquant d'usurper un contenu Internet de confiance. Les utilisateurs peuvent penser qu'ils accèdent à un contenu Internet sécurisé alors qu'en réalité, ils accèdent à un contenu malveillant, tel que par exemple un site Web malveillant. Pour exploiter cette vulnérabilité, toutefois, un attaquant doit d'abord persuader l'utilisateur de visiter ce site.

Quelle est la cause de cette vulnérabilité ?
La méthode que le logiciel concerné utilise pour mettre en cache les résultats de la recherche inversée.

Qu'est-ce que la recherche inversée ?
Dans DNS, la recherche inversée est une procédure qui consiste à examiner l'adresse IP d'un ordinateur hôte pour essayer de trouver son nom de domaine DNS. Pour plus d'informations sur cette procédure, visitez le site Web  suivant.

Quel est le problème dans la façon dont les produits concernés mettent en cache les résultats de la recherche inversée ?
Proxy Server 2.0 et ISA Server 2000 mettent en cache les résultats d'une recherche inversée et les utilisent pour effectuer une recherche normale. Cette approche suppose que le nom d'hôte reçu durant une recherche inversée est un nom valide. La première fois qu'une recherche inversée est effectuée sur une adresse IP donnée, un attaquant peut fournir une fausse réponse sur un nom de domaine sur lequel il n'a pas d'autorité. Si un utilisateur essaie alors d'accéder à la ressource en se servant du nom de domaine qui lui a été fourni par l'attaquant, il sera dirigé vers la mauvaise adresse IP.

Qu'est-ce que Proxy Server 2.0 ?
Proxy Server 2.0 tient lieu de passerelle vers Internet pour les ordinateurs clients. En général, un serveur proxy se comporte comme un intermédiaire entre un réseau privé et Internet. Proxy Server 2.0 met également en mémoire cache du contenu Internet pour des utilisateurs internes, afin d'augmenter les performances et de réduire la bande passante du réseau en sortie.

Qu'est-ce que ISA Server 2000 ?
ISA Server 2000 fournit à la fois un pare-feu de niveau entreprise et une mémoire cache Web hautement performante. Le pare-feu protège le réseau en réglementant les ressources auxquelles il est possible d'accéder à travers le pare-feu, et les conditions d'accès à ces ressources. La mémoire cache Web permet d'améliorer les performances du réseau en stockant des copies locales du contenu Web le plus consulté. ISA Server peut être installé en trois modes : mode pare-feu, mode cache ou mode intégré.

Le mode pare-feu permet à un administrateur de sécuriser les communications réseau en configurant des règles qui contrôlent les communications entre le réseau de l'entreprise et Internet. Le mode cache améliore les performances du réseau en stockant sur le serveur lui-même les pages Web les plus demandées. En mode intégré, toutes les fonctions de cache et de pare-feu sont disponibles.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Si un attaquant réussit à exploiter cette vulnérabilité, il peut usurper un contenu Internet sécurisé. Les utilisateurs peuvent penser qu'ils accèdent à un contenu Internet sécurisé alors qu'en réalité, ils accèdent à un contenu malveillant, tel que par exemple un site Web malveillant. Les sites Web et autres types de contenu Internet peuvent être victimes de cette vulnérabilité si un attaquant réussit à l'exploiter.

Qui pourrait exploiter cette vulnérabilité ?
Tout utilisateur anonyme capable d'afficher une page spécialement conçue et destinée à un client possédant un système ISA Server 2000 ou Proxy Server 2.0 peut essayer d'exploiter cette vulnérabilité.

Pour une attaque Web, l'attaquant doit héberger un site Web qui contient une page Web conçue pour exploiter cette vulnérabilité. Un attaquant n’aurait aucun moyen de forcer un utilisateur à visiter un site Web malveillant. Il doit y attirer l’utilisateur, en l’incitant à cliquer sur un lien qui mène à son site. Il est également possible d'afficher un contenu Web malveillant en utilisant des panneaux publicitaires ou d'autres moyens permettant de livrer du contenu aux clients du système ISA Server 2000 ou Proxy Server 2.0.

Il ne suffit pas à un attaquant d'envoyer un contenu malveillant aux clients du système ISA Server 2000 ou Proxy Server 2.0, il doit également créer une réponse malveillante à l'intention du système ISA Server 2000 ou Proxy Server 2.0 pour tromper la recherche inversée.

Cette vulnérabilité peut-elle être exploitée sur Internet ?
Oui. Un attaquant pourrait tenter d’exploiter cette vulnérabilité sur Internet.

Que fait cette mise à jour ?
La mise à jour supprime la vulnérabilité en modifiant la manière dont les produits concernés mettent en cache les résultats de la recherche inversée.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Non. Microsoft a été informé de cette vulnérabilité par un signalement volontaire. Lors de la première publication de ce bulletin, Microsoft n’avait reçu aucune information indiquant que cette vulnérabilité ait été dévoilée.

Lors de la parution de ce bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?
Non. Lors de la première publication de ce bulletin, Microsoft n’avait reçu aucune information indiquant que cette vulnérabilité avait été utilisée pour attaquer des clients, et ne connaissait ni exemple ni preuve de la publication d’un tel code.

Top of section

Conditions requises
Cette mise à jour de sécurité nécessite ISA Server Service Pack 1 (SP1), ISA Server 2000 Feature Pack 1 ou ISA Server 2000 Service Pack 2 (SP2)

Intégration aux futurs Service packs :
Le correctif de ce problème sera inclus dans un service pack futur.

Informations concernant l’installation

Cette mise à jour de sécurité prend en charge les commutateurs d’installation suivants :

      /help                  Affiche les options de ligne de commande

Modes d’installation

      /quiet                Mode silencieux (aucune intervention de la part de l’utilisateur ni d'affichage)

      /passive           Mode automatique (barre de progression uniquement)

      /uninstall          Désinstalle le package

Options de redémarrage

      /norestart          Ne redémarre pas l’ordinateur une fois l’installation terminée.

      /forcerestart     Redémarre l’ordinateur après l'installation.

Options spéciales

      /l                        Répertorie les correctifs ou les packages de mise à jour Windows installés

      /o                       Écrase les fichiers OEM sans message d’invite

      /n                       Ne crée pas de copie de sauvegarde des fichiers nécessaires à la désinstallation

      /f                        Force d’autres programmes à se fermer lorsque l’ordinateur s’arrête

      /extract             Extrait les fichiers sans exécuter le programme d’installation

Remarque : Vous pouvez associer ces commutateurs dans une seule ligne de commande. Pour des raisons de compatibilité ascendante, la mise à jour de sécurité prend en charge les commutateurs des versions précédentes du programme d’installation. Pour plus d’informations sur les commutateurs d’installation pris en charge, consultez l’Article 262841 de la Base de connaissances Microsoft.

Informations sur le déploiement

Pour installer la mise à jour de sécurité, utilisez la commande suivante depuis une invite de commande de ISA Server 2000 :

Isa2000-kb888258-x86-enu.exe

Nécessité de redémarrer

Cette mise à jour ne nécessite pas le redémarrage de l’ordinateur. Le programme d'installation arrête les services requis, applique la mise à jour, puis redémarre les services. Toutefois, si les services requis ne peuvent pas être arrêtés pour quelque raison que ce soit ou si les fichiers requis sont en cours d'utilisation, cette mise à jour nécessitera un redémarrage. Dans ce cas, un message s'affiche pour vous demander de redémarrer.

Informations sur la désinstallation

Pour supprimer cette mise à jour, utilisez Ajout/Suppression de programmes dans le Panneau de configuration. Sélectionnez Mise à jour de sécurité pour Microsoft ISA Server 2000 (KB 888258), puis cliquez sur Ajout/Suppression. Si vous avez installé cette mise à jour en utilisant ISA Server 2000 Service Pack 1 ou ISA Server 2000 Feature Pack 1, vous pouvez la désinstaller. Si vous avez installé cette mise à jour alors que vous utilisiez ISA Server 2000 Service Pack 1 ou ISA Server 2000 Feature Pack 1, puis installé ISA Server 2000 Service Pack 2 et désinstallé cette mise à jour, vous devez réinstaller ISA Server 2000 Service Pack 2.

Informations sur les fichiers

La mise à jour possède les attributs de fichiers (ou attributs plus récents) répertoriés dans le tableau ci-dessous. Les dates et heures de ces fichiers sont exprimées en temps universel coordonné (UTC). Lorsque vous affichez les informations des fichiers, les données sont converties en heure locale. Pour connaître le décalage entre l’heure UTC et l’heure locale, utilisez l’onglet Fuseau horaire de l’outil Date et heure du Panneau de configuration.

ISA Server 2000 Service Pack 1, ISA Server Feature Pack 1, ISA Server 2000 Service Pack 2, Small Business Server 2000, Small Business Server 2000 Service Pack 1, Small Business Server 2003 :

Date         Heure   Version        Taille     Nom de fichier    
---------------------------------------------------------- 
12-nov-2004  07:28  3.0.1200.408   185,336  Mspadmin.exe      
12-nov-2004  07:09  3.0.1200.408   110,072  Msphlpr.dll       
12-nov-2004  07:09  3.0.1200.408   401,912  W3proxy.exe       
12-Nov-2004  07:09  3.0.1200.408   307,192  Wspsrv.exe 

Vérification de l’installation de la mise à jour

Conditions requises
Cette mise à jour de sécurité nécessite la version finale de Proxy Server 2.0 Service Pack 1.

Informations sur le déploiement

Pour installer la mise à jour, tapez la commande suivante à une invite de commande :

Proxy20-KB888258-x86-enu.exe

Nécessité de redémarrer

Redémarrez votre système après avoir appliqué cette mise à jour de sécurité.

Informations sur la désinstallation

Vous pouvez supprimer la mise à jour de sécurité pour Proxy Server 2.0 Service Pack 1 en utilisant l'outil Ajout/Suppression du Panneau de configuration. Sélectionnez Proxy Server 2.0 Hotfix - KB888258, puis cliquez sur Ajout/Suppression.

Informations sur les fichiers

La mise à jour possède les attributs de fichiers (ou attributs plus récents) répertoriés dans le tableau ci-dessous. Les dates et heures de ces fichiers sont exprimées en temps universel coordonné (UTC). Lorsque vous affichez les informations des fichiers, les données sont converties en heure locale. Pour connaître le décalage entre l’heure UTC et l’heure locale, utilisez l’onglet Fuseau horaire de l’outil Date et heure du Panneau de configuration.

Proxy Server 2.0 :

Date         Heure   Version     Taille     Nom de fichier 
----------------------------------------------------- 
28-oct-2004  01:18  2.0.390.16   43,280  W3pcache.dll 
28-oct-2004  01:26  2.0.390.16  192,784  W3proxy.dll 
28-oct-2004  01:18  2.0.390.16   97,040  Wspsrv.exe 

Remarque : Les versions de ces fichiers sont les mêmes que celles des fichiers de Proxy Server 2.0 Server Pack 1. Vous ne pouvez pas utiliser les informations concernant les versions des fichiers pour vérifier si l'installation a réussi.

Vérification de l’installation de la mise à jour