Bulletin de sécurité Microsoft MS05-019

Quelle est la portée de cette vulnérabilité ?

Il s’agit d’une vulnérabilité d’exécution de code à distance. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral d'un système affecté. Toutefois, les tentatives d'exploitation de cette vulnérabilité entraîneraient probablement un déni de service. Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait pousser le système affecté à arrêter de répondre et à redémarrer automatiquement. Durant ce laps de temps, les systèmes affectés seraient dans l'incapacité de répondre aux requêtes.

Quelle est la cause de cette vulnérabilité ?
Les systèmes d'exploitation affectés valident de manière incomplète les paquets réseau IP.

Qu'est-ce qu'IP ?
L'IP (Protocole Internet) fait partie du protocole TCP/IP. TCP/IP est un ensemble de protocoles réseau largement utilisés sur Internet. TCP/IP fournit des communications sur des réseaux d'ordinateurs interconnectés dotés d'architectures matérielles variées et exécutant des systèmes d'exploitation différents. TCP/IP inclut des normes régulant la communication entre les ordinateurs et des conventions régulant les connexions réseau et le routage du trafic. Pour plus d’informations sur TCP/IP, consultez le site Web Microsoft  suivant.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il est toutefois probable qu'un attaquant qui réussirait à exploiter cette vulnérabilité pourrait pousser le système affecté à arrêter de répondre et à redémarrer automatiquement.

Qui pourrait exploiter cette vulnérabilité ?
Tout utilisateur anonyme qui serait en mesure de remettre un message spécialement conçu au système affecté pourrait tenter d’exploiter cette vulnérabilité.

Comment un attaquant peut-il exploiter cette vulnérabilité ?
Un attaquant pourrait exploiter cette vulnérabilité en créant un message spécialement conçu et en l’envoyant au système affecté. Ce message pourrait forcer le système affecté à exécuter un code ou à cesser de répondre.

Quels sont les systèmes qui encourent le plus de risques face à cette vulnérabilité ?
Windows 2000 et Windows XP Service Pack 1 sont les plus exposés à cette vulnérabilité. Windows XP Service Pack 2 et Windows Server 2003 fournissent une validation supplémentaire qui corrige cette vulnérabilité.

Cette vulnérabilité peut-elle être exploitée sur Internet ?
Oui. Un attaquant pourrait tenter d’exploiter cette vulnérabilité sur Internet. Cependant, cette attaque nécessiterait que les routeurs transmettent les paquets réseau IP mal formés. La plupart des routeurs ne transmettent pas ces types de paquets réseau IP.

Que fait cette mise à jour ?
Cette mise à jour supprime la vulnérabilité en modifiant la façon dont les systèmes d'exploitation affectés valident les requêtes IP.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable. Lors de la première publication de ce bulletin, Microsoft n’avait reçu aucune information faisant état d'une divulgation publique de cette vulnérabilité.

Lors de la parution de ce bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?
Non. Lors de la première publication de ce bulletin, Microsoft n’avait reçu aucune information indiquant que cette vulnérabilité avait été utilisée pour attaquer des clients, et ne connaissait ni exemple ni preuve de la publication d’un tel code.

Microsoft a testé les solutions ci-dessous. Elles ne corrigent pas la vulnérabilité sous-jacente, mais elles permettent de bloquer les vecteurs d’attaque connus. Les solutions réduisant les fonctionnalités sont identifiées dans la section suivante.

Quelle est la portée de cette vulnérabilité ?

Il existe une vulnérabilité de déni de service  qui pourrait permettre à un attaquant d’envoyer un message ICMP spécialement conçu à un système affecté. Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait pousser le système affecté à réinitialiser les connexions TCP existantes. Ces connexions doivent être rétablies pour qu'une communication normale puisse continuer. Sachez que cette vulnérabilité de déni de service ne permet pas à un attaquant d’exécuter du code ou d’élever ses privilèges.

Quelle est la cause de cette vulnérabilité ?
Les messages affectés ne sont pas ignorés dans certains cas, permettant à un attaquant d'envoyer un paquet mal formé susceptible de provoquer la réinitialisation d'une connexion existante.

Qu'est-ce que TCP/IP ?
TCP/IP est un ensemble de protocoles réseau largement utilisés sur Internet. TCP/IP fournit des communications sur des réseaux d'ordinateurs interconnectés dotés d'architectures matérielles variées et exécutant des systèmes d'exploitation différents. TCP/IP inclut des normes régulant la communication entre les ordinateurs et des conventions régulant les connexions réseau et le routage du trafic. Pour plus d’informations sur TCP/IP, consultez le site Web Microsoft  suivant.

Qu'est-ce que ICMP ?
Le protocole ICMP (Internet Control Message Protocol) est une norme TCP/IP requise définie dans RFC 792, "Internet Control Message Protocol (ICMP)". Les hôtes et les routeurs qui utilisent la communication IP peuvent effectuer des rapports d'erreurs et échanger un contrôle limité ainsi que des informations sur l'état en utilisant ICMP.

Des messages ICMP sont habituellement envoyés automatiquement dans les situations suivantes :

Vous pouvez utiliser la commande ping pour envoyer des messages de requête d'écho ICMP et pour enregistrer la réception de messages de réponse d'écho ICMP. Ces messages peuvent vous aider à détecter les échecs de communication hôte ou réseau et à résoudre les problèmes récurrents de connectivité TCP/IP. Pour plus d’informations sur ICMP, consultez le site Web Microsoft suivant .

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait pousser le système affecté à réinitialiser les connexions TCP existantes.

Qui pourrait exploiter cette vulnérabilité ?
Tout utilisateur anonyme qui serait en mesure de remettre un message spécialement conçu au système affecté pourrait tenter d’exploiter cette vulnérabilité.

Comment un attaquant peut-il exploiter cette vulnérabilité ?
Un attaquant pourrait exploiter cette vulnérabilité en créant un message spécialement conçu et en l’envoyant au système affecté. Ce message pourrait pousser le système affecté à réinitialiser les connexions réseau.

Quels sont les systèmes qui encourent le plus de risques face à cette vulnérabilité ?
Tous les systèmes d'exploitation affectés sont exposés à cette vulnérabilité. Cependant, les serveurs sont les plus exposés à cette vulnérabilité parce qu'ils maintiennent des connexions avec des clients potentiellement vulnérables à la réinitialisation de la connexion.

Cette vulnérabilité peut-elle être exploitée sur Internet ?
Oui. Un attaquant pourrait tenter d’exploiter cette vulnérabilité sur Internet. Par défaut, le pare-feu de connexion Internet (ICF, Internet Connection Firewall) autorise ces types de paquets réseau malveillants et ne peut donc être utilisé pour les filtrer.

Que fait cette mise à jour ?
Cette mise à jour supprime la vulnérabilité en modifiant la façon dont les systèmes d'exploitation affectés valident les requêtes ICMP.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro de "Common Vulnerability and Exposure" CAN-2004-0790. Une variante de ce problème a reçu le numéro "Common Vulnerability and Exposure" CAN-2004-0791. Il se trouve que la mise à jour de sécurité Microsoft de la vulnérabilité CAN-2004-0790 corrige aussi la CAN-2004-0791.

Lors de la parution de ce bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?
Non. Lors de la première publication de ce bulletin, Microsoft n’avait reçu aucune information indiquant que cette vulnérabilité avait été utilisée pour attaquer des clients, et ne connaissait ni exemple ni preuve de la publication d’un tel code.

Microsoft a testé les solutions ci-dessous. Elles ne corrigent pas la vulnérabilité sous-jacente, mais elles permettent de bloquer les vecteurs d’attaque connus. Les solutions réduisant les fonctionnalités sont identifiées dans la section suivante.

Quelle est la portée de cette vulnérabilité ?

Il existe une vulnérabilité de déni de service  qui pourrait permettre à un attaquant d'envoyer un message ICMP (Internet Control Message Protocol) spécialement conçu à un système affecté, ce qui pourrait provoquer une dégradation des performances réseau et pousser le système affecté à arrêter de répondre aux requêtes. Sachez que cette vulnérabilité de déni de service ne permet pas à un attaquant d’exécuter du code ou d’élever ses privilèges.

Quelle est la cause de cette vulnérabilité ?
Le processus de Découverte du chemin MTU ICMP permet à un attaquant de spécifier une valeur du chemin MTU capable de diminuer les performances du réseau.

Qu'est-ce que TCP/IP ?
TCP/IP est un ensemble de protocoles réseau largement utilisés sur Internet. TCP/IP fournit des communications sur des réseaux d'ordinateurs interconnectés dotés d'architectures matérielles variées et exécutant des systèmes d'exploitation différents. TCP/IP inclut des normes régulant la communication entre les ordinateurs et des conventions régulant les connexions réseau et le routage du trafic. Pour plus d’informations sur TCP/IP, consultez le site Web Microsoft  suivant.

Qu'est-ce que ICMP ?
Le protocole ICMP (Internet Control Message Protocol) est une norme TCP/IP requise définie dans RFC 792, "Internet Control Message Protocol (ICMP)". Les hôtes et les routeurs qui utilisent la communication IP peuvent effectuer des rapports d'erreurs et échanger un contrôle limité ainsi que des informations sur l'état en utilisant ICMP.

Des messages ICMP sont habituellement envoyés automatiquement dans les situations suivantes :

Vous pouvez utiliser la commande ping pour envoyer des messages de requête d'écho ICMP et pour enregistrer la réception de messages de réponse d'écho ICMP. Ces messages peuvent vous aider à détecter les échecs de communication hôte ou réseau et à résoudre les problèmes récurrents de connectivité TCP/IP. Pour plus d’informations sur ICMP, consultez le site Web Microsoft suivant .

Qu'est-ce que la découverte du chemin MTU ?
La découverte du PMTU (Path maximum transmission unit) est le processus consistant à découvrir la taille maximum des paquets pouvant être envoyés entre deux hôtes du réseau sans fragmentation (c'est à dire, sans que le paquet soit fragmenté en plusieurs paquets au cours de la transmission). Il est décrit dans le RFC 1191. Pour plus d'informations à ce sujet, consultez le RFC 1191  . Pour plus d'informations, consultez le site Web MSDN  suivant.

Quel est l'inconvénient du processus de découverte du chemin MTU ?
La découverte du PMTU permet à un attaquant de spécifier une valeur capable de dégrader les performances d'autres connexions du réseau. Sur les réseaux non sécurisés, le fait de permettre la découverte PMTU comporte le risque de voir un attaquant forcer le MTU sur une très faible valeur, ce qui provoquerait une surcharge de la pile TCP/IP du système local. Normalement, ce comportement est restreint à la seule connexion qu'un attaquant pourrait établir. Toutefois, cette vulnérabilité permet à un attaquant de modifier la valeur MTU d'autres connexions au-delà de sa propre connexion au système affecté.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait provoquer une baisse des performances réseau du système affecté.

Qui pourrait exploiter cette vulnérabilité ?
Tout utilisateur anonyme qui serait en mesure de remettre un message spécialement conçu au système affecté pourrait tenter d’exploiter cette vulnérabilité.

Comment un attaquant peut-il exploiter cette vulnérabilité ?
Un attaquant pourrait exploiter cette vulnérabilité en créant un message spécialement conçu et en l’envoyant au système affecté. Ce message pourrait provoquer une baisse des performances réseau du système affecté.

Quels sont les systèmes qui encourent le plus de risques face à cette vulnérabilité ?
Tous les systèmes d'exploitation affectés sont exposés à cette vulnérabilité. Cependant, les serveurs sont les plus exposés à cette vulnérabilité parce qu'ils maintiennent des connexions avec des clients potentiellement vulnérables à la dégradation des performances.

Cette vulnérabilité peut-elle être exploitée sur Internet ?
Oui. Un attaquant pourrait tenter d’exploiter cette vulnérabilité sur Internet. Par défaut, le pare-feu de connexion Internet (ICF, Internet Connection Firewall) autorise ces types de paquets réseau malveillants et ne peut donc être utilisé pour les filtrer.

Que fait cette mise à jour ?
Cette mise à jour supprime la vulnérabilité en définissant la valeur minimale du MTU sur 576 octets. Elle modifie également la façon dont les systèmes d'exploitation affectés valident les requêtes ICMP.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro de "Common Vulnerability and Exposure" CAN-2004-1060.

Lors de la parution de ce bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?
Non. Lors de la première publication de ce bulletin, Microsoft n’avait reçu aucune information indiquant que cette vulnérabilité avait été utilisée pour attaquer des clients, et ne connaissait ni exemple ni preuve de la publication d’un tel code.

Nous n'avons identifié aucune solution pour cette vulnérabilité.

Quelle est la portée de cette vulnérabilité ?

Il existe une vulnérabilité de déni de service  qui pourrait permettre à un attaquant d’envoyer un message TCP spécialement conçu à un système affecté. Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait pousser le système affecté à réinitialiser les connexions TCP existantes. Ces connexions doivent être rétablies pour qu'une communication normale puisse continuer. Sachez que cette vulnérabilité de déni de service ne permet pas à un attaquant d’exécuter un code ou d’élever ses privilèges.

Quelle est la cause de cette vulnérabilité ?
Les messages affectés ne sont pas ignorés dans certains cas, permettant à un attaquant d'envoyer un paquet TCP mal formé susceptible de provoquer la réinitialisation d'une connexion existante.

Qu'est-ce que TCP/IP ?
TCP/IP est un ensemble de protocoles réseau largement utilisés sur Internet. TCP/IP fournit des communications sur des réseaux d'ordinateurs interconnectés dotés d'architectures matérielles variées et exécutant des systèmes d'exploitation différents. TCP/IP inclut des normes régulant la communication entre les ordinateurs et des conventions régulant les connexions réseau et le routage du trafic. Pour plus d’informations sur TCP/IP, consultez le site Web Microsoft  suivant.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait pousser le système affecté à réinitialiser les connexions TCP existantes.

Qui pourrait exploiter cette vulnérabilité ?
Tout utilisateur anonyme qui serait en mesure de remettre un message spécialement conçu au système affecté et d'apprendre ou de prédire les informations TCP requises pourrait exploiter cette vulnérabilité.

Comment un attaquant peut-il exploiter cette vulnérabilité ?
Un attaquant pourrait exploiter cette vulnérabilité en créant un message spécialement conçu et en l’envoyant au système affecté. Ce message pourrait alors pousser le système affecté à réinitialiser les connexions TCP.

Pour qu'un attaquant puisse exploiter cette vulnérabilité, il doit d'abord prédire ou apprendre l'adresse IP et les informations relatives au port de la source et de la destination d'une connexion réseau TCP existante. Un attaquant doit également pouvoir prédire ou apprendre certaines informations spécifiques concernant les paquets réseau TCP.

Quels sont les systèmes qui encourent le plus de risques face à cette vulnérabilité ?
Tous les systèmes d'exploitation affectés sont exposés à cette vulnérabilité. Cependant, les serveurs sont les plus exposés à cette vulnérabilité parce qu'ils maintiennent des connexions avec des clients potentiellement vulnérables à la réinitialisation de la connexion. Les protocoles ou les programmes qui maintiennent de longues sessions et possèdent des informations TCP/IP prévisibles sont particulièrement exposés à ce problème.

Cette vulnérabilité peut-elle être exploitée sur Internet ?
Oui. Un attaquant pourrait tenter d’exploiter cette vulnérabilité sur Internet.

Que fait cette mise à jour ?
Cette mise à jour supprime la vulnérabilité en modifiant la façon dont les systèmes d'exploitation affectés valident les requêtes TCP.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro "Common Vulnerability and Exposure" CAN-2004-0230.

Lors de la parution de ce bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?
Non. Lors de la première publication de ce bulletin, Microsoft avait vu des exemples et des preuves de la publication d’un tel code, mais n’avait reçu aucune information indiquant que cette vulnérabilité avait été utilisée pour attaquer des clients.

L’application de la présente mise à jour de sécurité permet-elle de protéger vos clients contre le code qui a été publié et qui tente d’exploiter cette vulnérabilité ?
Oui. Cette mise à jour de sécurité corrige le problème avéré de la publication de ce code. La vulnérabilité ainsi corrigée a reçu le numéro "Common Vulnerability and Exposure" CAN-2004-0230.

Quelle est la portée de cette vulnérabilité ?

Il s'agit d'une vulnérabilité de déni de service . Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait pousser le système affecté à arrêter de répondre pendant un certain temps. Durant ce laps de temps, les systèmes affectés seraient dans l'incapacité de répondre aux requêtes. Sachez que cette vulnérabilité de déni de service ne permet pas à un attaquant d’exécuter un code ou d’élever ses privilèges, mais peut amener le système affecté à ne plus accepter les requêtes.

Quelle est la cause de cette vulnérabilité ?
Les systèmes d'exploitation affectés valident de manière incomplète les paquets réseau TCP/IP. Cette vulnérabilité se produit lorsqu'un paquet SYN TCP est reçu avec une fausse adresse IP source et un numéro de port identique à celui de l'adresse IP et du port de destination. Cela donne donc l'impression que l'ordinateur hôte s'est envoyé un paquet à lui-même. Si cette attaque réussit, une boucle se crée et ralentit l'unité centrale de l'ordinateur.

Qu'est-ce que TCP/IP ?
TCP/IP est un ensemble de protocoles réseau largement utilisés sur Internet. TCP/IP fournit des communications sur des réseaux d'ordinateurs interconnectés dotés d'architectures matérielles variées et exécutant des systèmes d'exploitation différents. TCP/IP inclut des normes régulant la communication entre les ordinateurs et des conventions régulant les connexions réseau et le routage du trafic. Pour plus d’informations sur TCP/IP, consultez le site Web Microsoft  suivant.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait empêcher le système affecté de répondre.

Qui pourrait exploiter cette vulnérabilité ?
Tout utilisateur anonyme qui serait en mesure de remettre un message spécialement conçu au système affecté pourrait tenter d’exploiter cette vulnérabilité.

Comment un attaquant peut-il exploiter cette vulnérabilité ?
Un attaquant pourrait exploiter cette vulnérabilité en créant un message spécialement conçu et en l’envoyant au système affecté. Ce message pourrait forcer le système affecté à arrêter de répondre.

Quels sont les systèmes qui encourent le plus de risques face à cette vulnérabilité ?
Windows XP Service Pack 2 et Windows Server 2003 sont les plus concernés par cette vulnérabilité. Les versions précédentes des systèmes d'exploitation ne sont pas concernées par ce problème.

Cette vulnérabilité peut-elle être exploitée sur Internet ?
Oui. Un attaquant pourrait tenter d’exploiter cette vulnérabilité sur Internet. Cependant, cette attaque nécessiterait que les routeurs transmettent les paquets réseau TCP/IP mal formés. La plupart des routeurs ne transmettent pas ces types de paquets réseau TCP/IP.

Que fait cette mise à jour ?
Cette mise à jour supprime la vulnérabilité en modifiant la façon dont les systèmes d'exploitation affectés valident les requêtes TCP/IP.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro de "Common Vulnerability and Exposure" CAN-2005-0688. Elle a également été appelée "Land attack" par la communauté des spécialistes de la sécurité.

Lors de la parution de ce bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?
Non. Lors de la première publication de ce bulletin, Microsoft avait vu des exemples et des preuves de la publication d’un tel code, mais n’avait reçu aucune information indiquant que cette vulnérabilité avait été utilisée pour attaquer des clients.

L’application de la présente mise à jour de sécurité permet-elle de protéger vos clients contre le code qui a été publié et qui tente d’exploiter cette vulnérabilité ?
Oui. Cette mise à jour de sécurité corrige le problème démontré par la preuve de la publication d'un tel code.