Bulletin de sécurité Microsoft MS06-011
Des listes de contrôle d'accès discrétionnaire (DACL) permissives sur les services Windows peuvent permettre une élévation de privilèges (914798)
Version : 2.0
Résumé
Personnes concernées par ce document : Les clients utilisant Microsoft Windows
Type de vulnérabilité : Élévation de privilèges
Indice de gravité maximal : Important
Recommandation : Nos clients devraient installer cette mise à jour dès que possible.
Remplacement de mises à jour de sécurité : Aucun.
Avertissements : L'article 914798 de la Base de connaissances Microsoft évoque les problèmes connus auxquels les clients peuvent être confrontés en installant cette mise à jour de sécurité. Cet article documente également les solutions palliatives recommandées. Pour plus d’informations, consultez l’article 914798 de la Base de connaissances Microsoft.
Logiciels testés et adresses de téléchargement des mises à jour :
Logiciels concernés :
| • | Microsoft Windows XP Service Pack 1 Télécharger la mise à jour |
| • | Microsoft Windows Server 2003 – Télécharger la mise à jour |
| • | Microsoft Windows Server 2003 pour les systèmes Itanium – Télécharger la mise à jour |
| • | Logiciels non concernés :
|
Informations générales
Synthèse |
Synthèse :
Cette mise à jour corrige une vulnérabilité publique récemment découverte. Cette vulnérabilité est décrite en détail dans la section "Précisions sur la vulnérabilité", plus loin dans ce bulletin.
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral d'un système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.
Nous recommandons à nos clients d’installer cette mise à jour dès que possible.
Indices de gravité et identificateurs de vulnérabilité :
| Identificateurs de vulnérabilité | Type de vulnérabilité | Windows 98, 98 SE, ME | Windows 2000 | Windows XP Service Pack 1 | Windows XP Service Pack 2 | Windows Server 2003 | Windows Server 2003 Service Pack 1 |
Listes de contrôle d'accès discrétionnaire (DACL) permissives sur les services Windows - CVE-2006-0023 | Élévation de privilèges | Aucun | Aucun | Important | Aucun | Modéré | Aucun |
Cette évaluation se fonde sur les types de systèmes concernés par cette vulnérabilité, leurs schémas de déploiement classiques et l’impact que l’exploitation de la vulnérabilité aurait sur ces systèmes.
Remarque : Les indices de gravité pour des systèmes d'exploitation autres que x86 correspondent aux versions des systèmes d'exploitation x86 ci-dessous :
| • | L'indice de gravité de Microsoft Windows XP Professionnel Édition x64 est identique à l'indice de gravité de Windows XP Service Pack 2. |
| • | L'indice de gravité de Microsoft Windows Server 2003 pour les systèmes Itanium est identique à l'indice de gravité de Windows Server 2003. |
| • | L'indice de gravité de Microsoft Windows Server 2003 avec SP1 pour les systèmes Itanium est identique à l'indice de gravité de Windows Server 2003 Service Pack 1. |
| • | L'indice de gravité de Microsoft Windows Server 2003 Édition x64 est identique à l'indice de gravité de Windows Server 2003 Service Pack 1. |
Forum aux questions concernant la présente mise à jour de sécurité |
Pourquoi Microsoft a-t-il publié à nouveau ce bulletin le 13 juin 2006 ?
Microsoft a mis à jour ce bulletin et les mises à jour de sécurité associées pour inclure les valeurs de Registre mises à jour pour les services NetBT, RemoteAccess et TCPIP. Ces valeurs ont été modifiées pour être les mêmes que celles de Windows XP Service Pack 2 sur les systèmes Windows XP Service Pack 1. Nous encourageons les utilisateurs de Windows XP Service Pack 1 à appliquer cette mise à jour révisée pour une sécurité supplémentaire contre une élévation de privilèges par ces services, selon les instructions de la section "Précisions sur la vulnérabilité" de ce bulletin de sécurité. Les systèmes Windows 2003 sans Service Pack ne sont pas affectés par cette réédition. Pour plus d'informations et pour les valeurs de Registre mises à jour, consultez l’article 914798 de la Base de connaissances Microsoft.
Quelles sont les modifications incluses dans la mise à jour de sécurité révisée ?
La mise à jour de sécurité révisée ne contient aucune modification des fichiers binaires inclus dans la mise à jour de sécurité initiale. Pendant l'installation, la mise à jour de sécurité révisée mettra à jour les valeurs de registre pour les services NetBT, RemoteAccess et TCPIP comme indiqué dans l'article 91748 de la Base de connaissances Microsoft.
Quels sont les problèmes connus auxquels les clients peuvent être confrontés lorsqu'ils installent cette mise à jour de sécurité ?
L'article 914798 de la Base de connaissances Microsoft évoque les problèmes connus auxquels les clients peuvent être confrontés en installant cette mise à jour de sécurité. Cet article documente également les solutions palliatives recommandées. Pour plus d’informations, consultez l’article 914798 de la Base de connaissances Microsoft.
Pourquoi aucun fichier mis à jour n'est-il appliqué au système après l'installation de cette mise à jour ?
Pour les systèmes Windows XP Service Pack 1, cette mise à jour définit les paramètres de la liste de contrôle d'accès discrétionnaire (DACL), identiques à ceux de Windows XP Service Pack 2. Pour Windows 2003 sur lequel aucun Service Pack n'a été installé, cette mise à jour définit les paramètres des listes de contrôle d'accès discrétionnaire de service sélectionnés à ceux de Windows 2003 Service Pack 1. Ces modifications de configuration sont effectuées par le programme d'installation et aucun fichier système n'est mis à jour après l'application de cette mise à jour de sécurité.
Pourrai-je désinstaller cette mise à jour ?
Puisqu'aucun fichier système n'est modifié après l'application de cette mise à jour, celle-ci ne peut être supprimée. Pour Windows 2003 sur lequel aucun Service Pack n'a été installé et les systèmes Windows XP Service Pack 1, cette mise à jour définit les paramètres des listes de contrôle discrétionnaire (DACL) de service sélectionnés à ceux de Windows 2003 Service Pack 1 et Windows XP Service Pack 2. Ces modifications de configuration sont effectuées par le programme d'installation et aucun fichier système n'est mis à jour après l'application de cette mise à jour de sécurité. Toutefois, ces modifications ne sont pas irrémédiables et les paramètres initiaux peuvent être rétablis à l'aide de l'utilitaire système. Pour en savoir plus sur la suppression et le rétablissement des modifications de la configuration DACL effectuées par cette mise à jour, consultez l'Article 914798 de la Base de connaissances Microsoft.
Cette mise à jour comporte-t-elle d'autres modifications de sécurité affectant les fonctionnalités ?
Oui. Outre les services répertoriés dans la section “Précisions sur la vulnérabilité” de ce bulletin, la mise à jour modifie également les listes de contrôle d'accès discrétionnaire (DACL) pour les services et les clés de Registre de service indiqués dans le tableau ci-dessous pour fournir une protection supplémentaire énergique. Les paramètres des services et clés de Registre de service supplémentaires définis par les listes de contrôle d'accès discrétionnaire (DACL) pour les services répertoriés ci-dessous, sont identiques à ceux de Windows XP Service Pack 2 sur les systèmes Windows XP Service Pack 1, et Windows 2003 Service Pack 1 sur les systèmes Windows 2003 sur lesquels aucun Service Pack n'a été installé. Pour plus d'informations sur ces services et autres services associés, ainsi que sur ces modifications de listes de contrôle d'accès discrétionnaire (DACL) de clé de Registre inclus dans cette mise à jour, consultez l'Article 914798 de la Base de connaissances Microsoft.
Autres modifications de clé de Registre et de service incluses dans cette mise à jour
Système d’exploitation | Service | Clé de Registre |
Microsoft Windows XP Service Pack 1 | MSDTC |
|
|
| DHCP |
|
| NetBT |
|
| RemoteAccess |
|
| TCPIP |
Windows Server 2003 | MSDTC | |
| SysmonLog | |
| DHCP | |
|
| DnsCache |
|
| NetBT |
|
| RemoteAccess |
|
| TCPIP |
Windows 98, Windows 98 Deuxième Édition et Windows Millennium Edition sont-ils affectés de manière critique par certaines des vulnérabilités corrigées dans le présent bulletin de sécurité ?
Non. Microsoft a testé les logiciels répertoriés dans cette synthèse afin de déterminer si ces versions sont concernées. D'autres versions ne prennent plus en charge les mises à jour de sécurité ou ne sont pas affectées. Consultez le site Web Politique de Support Microsoft 
afin de connaître la politique de support Microsoft pour votre produit et votre version.
Puis-je utiliser MBSA (Microsoft Baseline Security Analyzer) 1.2.1 pour déterminer si cette mise à jour est nécessaire ?
Oui. MBSA 1.2.1 déterminera si cette mise à jour est nécessaire. Pour plus d'informations sur MBSA, consultez le site Web MBSA . Puisque cette mise à jour ne peut pas être désinstallée, si les listes de contrôle d'accès discrétionnaire affectées sont modifiées ou rétablies avec leurs paramètres d'origine, les utilisateurs devront modifier le registre pour que MBSA puisse déterminer à nouveau si la mise à jour est requise. Pour plus d'informations sur la manière de modifier le registre afin que MBSA 1.2.1 puisse identifier la désinstallation manuelle de cette mise à jour, consultez l'article de la Base de connaissances Microsoft 914798.
Puis-je utiliser MBSA (Microsoft Baseline Security Analyzer) 2.0 pour déterminer si cette mise à jour est nécessaire ?
Oui. MBSA 2.0 déterminera si cette mise à jour est nécessaire. MBSA 2.0 peut détecter les mises à jour de sécurité des produits pris en charge par Microsoft Update. Pour plus d'informations sur MBSA, consultez le site Web MBSA . Puisque cette mise à jour ne peut pas être désinstallée, si les listes de contrôle d'accès discrétionnaire affectées sont modifiées ou rétablies avec leurs paramètres d'origine, les utilisateurs devront modifier le registre pour que MBSA puisse déterminer à nouveau si la mise à jour est requise. Pour plus d'informations sur la manière de modifier le registre afin que MBSA 2.0 puisse identifier la désinstallation manuelle de cette mise à jour, consultez l'article de la Base de connaissances Microsoft 914798.
Puis-je utiliser SMS (Systems Management Server) pour déterminer si cette mise à jour est nécessaire ?
Oui. SMS peut vous aider à détecter et déployer cette mise à jour de sécurité. Pour plus d'informations sur SMS, consultez le site Web SMS.
SMS peut utiliser l'outil d'inventaire des mises à jour afin de détecter les mises à jour de sécurité proposées par Windows Update et prises en charge par Software Update Services , ainsi que celles prises en charge par MBSA 1.2.1. Pour plus d'informations sur cet outil, consultez le site Web Microsoft à l’adresse suivante. Pour plus d'informations concernant les limitations de l'outil d'inventaire des mises à jour, consultez l'article 306460 de la Base de connaissances Microsoft.
SMS peut utiliser l'outil d'inventaire SMS 2003 pour les mises à jour Microsoft afin de détecter les mises à jour de sécurité proposées par Microsoft Update et prises en charge par Windows Server Update Services . Pour plus d'informations sur l'outil d'inventaire SMS 2003 pour les mises à jour Microsoft, consultez le site Web Microsoft à l’adresse suivante.
Précisions sur la vulnérabilité |
Des listes de contrôle d'accès discrétionnaire (DACL) permissives sur les services Windows peuvent permettre une élévation de privilèges - CVE-2006-0023 |
Il existe une vulnérabilité d'élévation de privilèges sur Windows XP Service Pack 1 où le niveau par défaut utilisé pour les permissions sur les services Windows identifiés peut permettre à un utilisateur doté de faibles privilèges de modifier les propriétés associées au service. Sur Windows 2003, le niveau utilisé pour les permissions sur les services Windows identifiés peut permettre à un utilisateur membre du groupe Opérateurs de configuration réseau de modifier les propriétés associées au service. Seuls les membres du groupe Opérateurs de configuration réseau de la machine cible peuvent attaquer Windows Server 2003 à distance, et ce groupe ne contient pas d'utilisateur par défaut. Cette vulnérabilité peut permettre à un utilisateur disposant d'informations d'identification valides de prendre le contrôle intégral du système sur Microsoft Windows XP Service Pack 1.
Facteurs atténuants concernant Des listes de contrôle d'accès discrétionnaire (DACL) permissives sur les services Windows peuvent permettre une élévation de privilèges - CVE-2006-0023 |
Solutions de contournement concernant Des listes de contrôle d'accès discrétionnaire (DACL) permissives sur les services Windows peuvent entraîner une élévation de privilèges - CVE-2006-0023 : |
Microsoft a testé les solutions de contournement ci-dessous. Les solutions de contournement identifiées modifient les listes de contrôle d'accès discrétionnaire par défaut sur Windows XP Service Pack 1 et Windows Server et les remplacent par des listes de contrôle d'accès discrétionnaire renforcées utilisées sur Windows XP Service Pack 2 et Windows Server 2003 Service Pack 1. Elles sont donc considérées comme des solutions complètes à ce problème. Les contrôles d'accès recommandés étant fournis avec les derniers systèmes d'exploitation depuis un certain temps, ils constituent un risque plus faible. Toutefois, toute modification de la liste de contrôle d'accès discrétionnaire (DACL) comporte des risques d'incompatibilité avec l'application.
| • | Utilisez la commande sc.exe pour paramétrer les contrôles d'accès modifiés pour les services identifiés : Remarque : Vous devez exécuter la commande sc.exe en tant qu'utilisateur privilégié. Vous pouvez exécuter cette commande en utilisant un script de démarrage ou un script SMS. L'exécution de cette commande vous permet de renforcer la sécurité des listes de contrôle d'accès discrétionnaire en appliquant le même niveau de sécurité que sur Windows XP Service Pack 2 et Windows Server 2003 Service Pack 1. Pour plus d'informations sur la commande sc.exe et sur le paramétrage des listes de contrôle d'accès discrétionnaire pour les services Windows, reportez-vous à la Documentation produit Microsoft Pour Windows XP Service Pack 1, exécutez chacune des commandes suivantes. Chaque commande modifie la liste de contrôle d'accès sur le service affecté associé. sc sdset ssdpsrv D:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPLORC;;;AU)(A;;RPWPDTRC;;;LS) sc sdset netbt D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;DT;;;LS)(A;;DT;;;NS)(A;;CCLCSWRPLOCRRC;;;NO) sc sdset upnphost sc sdset scardsvr D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCLCSWRPWPDTLOCRRC;;;LS)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPLOCRRC;;;S-1-2-0) sc sdset dhcp D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;NO)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY) sc sdset dnscache D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCLCSWRPWPDTLOCRRC;;;NO)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY) Pour Windows Server 2003, exécutez chacune des commandes suivantes. Chaque commande modifie la liste de contrôle d'accès sur le service affecté associé. sc sdset netbt D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SO)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;DT;;;LS)(A;;DT;;;NS)(A;;CCLCSWRPLOCRRC;;;NO)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD) sc sdset dhcp D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;NO)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD) sc sdset dnscache D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCLCSWRPWPDTLOCRRC;;;NO)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD) Remarque : Pour Windows Server 2003, NetBT, DnsCache et DHCP sont les seuls services affectés identifiés. Sur Windows Server 2003, une attaque doit être lancée par un membre du groupe Opérateurs de configuration réseau. Ce groupe est vide par défaut. Impact de cette solution de contournement : Aucun |
| • | Utilisez la stratégie de groupe pour déployer les contrôles d'accès modifiés pour les services identifiés. Les administrateurs de domaine peuvent utiliser la stratégie de groupe et les modèles de sécurité pour déployer des contrôles d'accès modifiés sur des systèmes Windows XP Service Pack 1. Pour plus d’informations sur la mise en place de modèles de sécurité par l'intermédiaire de la stratégie de groupe, consultez l’article 816585 de la Base de connaissances Microsoft. Vous n'avez pas à redémarrer votre ordinateur pour finaliser cette opération. Pour Windows XP Service Pack 1, utilisez le modèle de sécurité suivant pour modifier les services Upnphost, SCardSvr, SSDPSRV, DnsCache et DHCP. [Unicode] Pour Windows Server 2003, utilisez le modèle de sécurité suivant pour modifier les services DnsCache et Dhcp. [Unicode] Remarque : Pour Windows XP Service Pack 1 et Windows Server 2003, les modifications des listes de contrôle d'accès discrétionnaire de service sur le service NetBT ne sont pas prises en charge par l'Éditeur d'objets de stratégie de groupe de Microsoft. Par conséquent, la modification de la liste de contrôle d'accès discrétionnaire du service NetBT n'est pas incluse dans le modèle de sécurité pour Windows Server 2003. Remarque : Pour Windows Server 2003, NetBT, DHCP et DnsCache sont les seuls services affectés identifiés. Sur Windows Server 2003, une attaque doit être lancée par un membre du groupe Opérateurs de configuration réseau. Ce groupe est vide par défaut et rarement renseigné. Impact de cette solution de contournement : Outre l'utilisation des mêmes paramètres de listes de contrôle d'accès discrétionnaire des services que pour Windows XP Service Pack 2, le modèle de sécurité fourni rétablit le type de démarrage par défaut pour le service affecté sur "Automatique". Parce que Windows Server 2003 prend en charge la capacité de configuration des paramètres de type de démarrage, le type de démarrage reste le même pour Windows Server 2003. |
| • | Modifiez le registre Windows pour modifier les contrôles d'accès pour chacun des services identifiés. La commande sc.exe est la méthode de modification de service préférée. Vous pouvez toutefois utiliser la commande suivante pour remplacer les listes de contrôle d'accès discrétionnaire de sécurité des services affectés par les listes de contrôle d'accès de Windows XP Service Pack 2. Les utilisateurs sont encouragés à sauvegarder le registre avant d'effectuer les modifications. Pour plus d'informations sur les scripts de registre et la façon de modifier le registre Windows, consultez l’article 214752 de la Base de connaissances Microsoft. Pour Windows XP Service Pack 1, modifiez les clés de Registre suivantes pour modifier les services affectés Windows XP Service Pack 1 par défaut Pour le service SSDPSRV : reg add HKLM\System\CurrentControlSet\Services\SSDPSRV\Security /v Security /t REG_BINARY /d _ Pour le service NetBT : reg add HKLM\System\CurrentControlSet\Services\netbt\Security /v Security /t REG_BINARY /d _ Pour le service UPnPHost : reg add HKLM\System\CurrentControlSet\Services\upnphost\Security /v Security /t REG_BINARY /d _ Pour le service ScardSvr : reg add HKLM\System\CurrentControlSet\Services\scardsvr\Security /v Security /t REG_BINARY /d _ Pour le service DHCP : reg add HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\dhcp\security /v Security /t REG_BINARY /d _ Pour le service DnsCache : reg add HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\dnscache\security /v Security /t REG_BINARY /d_ Pour Windows Server 2003, modifiez la clé de Registre suivante pour modifier le service affecté Windows 2003 par défaut. Pour le service NetBT : reg add HKLM\System\CurrentControlSet\Services\netbt\Security /v Security /t REG_BINARY /d _ Pour le service DHCP : reg add HKLM\System\CurrentControlSet\Services\dhcp\Security /v Security /t REG_BINARY /d _ Pour le service DnsCache : reg add HKLM\System\CurrentControlSet\Services\dnscache\Security /v Security /t REG_BINARY /d _ Remarque : Pour ces valeurs de Registre, le caractère “_” et un retour chariot ont été insérés pour une meilleure lisibilité. Le caractère "_" et le retour chariot doivent être supprimés de façon à pouvoir exécuter correctement la commande. Impact de cette solution de contournement : En plus d'utiliser les mêmes listes de contrôle d'accès discrétionnaire de services que sur Windows Server 2003 Service Pack 1 et Windows XP Service Pack 2, vous n'avez pas à redémarrer votre ordinateur pour finaliser cette opération. |
Facteurs atténuants concernant Des listes de contrôle d'accès discrétionnaire (DACL) permissives sur les services Windows peuvent permettre une élévation de privilèges - CVE-2006-0023 |
Quelle est la portée de cette vulnérabilité ?
Il s’agit d’une vulnérabilité d’élévation des privilèges . Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral d'un système affecté. Un attaquant pourrait modifier le binaire par défaut associé aux services affectés. Il pourrait ensuite arrêter les services et les redémarrer pour exécuter un programme ou binaire malveillant. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.
Quelle est la cause de cette vulnérabilité ?
Sur Windows XP Service Pack 1, le niveau par défaut utilisé pour les permissions sur les services Windows identifiés peut permettre à un utilisateur doté de faibles privilèges de modifier les propriétés associées au service. Sur Windows Server 2003, le niveau utilisé pour les permissions sur les services Windows identifiés peut permettre à un utilisateur membre du groupe Opérateurs de configuration réseau de modifier les propriétés associées au service.
Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
En modifiant le programme associé par défaut configuré pour exécuter un service identifié, un utilisateur doté de faibles privilèges peut exécuter des commandes ou des fichiers exécutables qui nécessiteraient en temps normal des privilèges élevés.
Qui pourrait exploiter cette vulnérabilité ?
Pour essayer d'exploiter cette vulnérabilité, un attaquant doit d'abord disposer d’informations d’identification valides pour le système affecté.
Comment un attaquant peut-il exploiter cette vulnérabilité ?
Pour exploiter cette vulnérabilité, un attaquant doit d'abord disposer d’informations d’identification valides pour le système affecté. Un attaquant pourrait alors accéder au composant affecté et exécuter une application spécialement conçue pour exploiter cette vulnérabilité et prendre le contrôle intégral du système affecté.
Quels sont les systèmes les plus exposés à cette vulnérabilité ?
Les postes de travail et les serveurs sont tous deux potentiellement exposés.
Windows 98, Windows 98 Deuxième Édition ou Windows Millennium Edition sont-ils affectés de manière critique par cette vulnérabilité ?
Non. Windows 98, Windows 98 Deuxième édition et Windows Millennium Edition ne contiennent pas les composants affectés.
Windows 2000 est-il concerné par cette vulnérabilité ?
Certains scénarios impliquant des membres du groupe administratif Utilisateurs expérimentés ont été identifiés, mais de tels utilisateurs doivent être considérés comme des utilisateurs de confiance dotés de privilèges étendus et ayant la possibilité de modifier tous les paramètres de l'ordinateur. Pour plus d'informations sur les droits relatifs au groupe administratif Utilisateurs expérimentés, consultez l'article 825069 de la Base de connaissances Microsoft. Windows 2000 peut devenir vulnérable si un code d'application tierce est installé ; ce qui ajoute des services dotés de contrôles d'accès trop permissifs.
Comment savoir si une application tierce est affectée ?
Les utilisateurs sont encouragés à prendre contact avec leurs fournisseurs de logiciels tiers dont les produits requièrent l'installation de services pour déterminer si des services autres que les services Windows par défaut sont affectés. Les développeurs de logiciels sont encouragés à consulter l'article 914392 de la Base de connaissances Microsoft pour obtenir plus d'informations et les meilleures pratiques sur l'application des contrôles d'accès sécurisés aux services.
Cette vulnérabilité peut-elle être exploitée sur Internet ?
Non. Un attaquant doit disposer des informations d'identification valides sur le système qu'il souhaite attaquer.
Que fait cette mise à jour ?
La mise à jour remplace les listes de contrôle d'accès discrétionnaire (DACL) par défaut sur Windows XP Service Pack 1 et sur Windows Server par les listes de contrôle d'accès discrétionnaire de sécurité améliorées utilisées sur Windows XP Service Pack 2 et Windows Server 2003 Service Pack 1.
Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro de "Common Vulnerability and Exposure" CVE-2006-0023 
.
Lors de la parution de ce bulletin de sécurité, Microsoft avait-il été informé d'une éventuelle exploitation de cette vulnérabilité ?
Non. Lors de la première publication de ce bulletin, Microsoft avait vu des exemples et des preuves de la publication d’un tel code, mais n’avait reçu aucune information indiquant que cette vulnérabilité avait été utilisée pour attaquer des clients.
Informations sur la mise à jour de sécurité |
Logiciels concernés :
Pour obtenir des informations sur la mise à jour de sécurité spécifique aux Logiciels concernés, cliquez sur le lien approprié :
Windows Server 2003 |
Conditions requises
Cette mise à jour de sécurité nécessite une version finale de Windows Server 2003.
Intégration aux futurs Service Packs :
La mise à jour corrigeant ce problème est incluse dans Windows Server 2003 Service Pack 1.
Informations concernant l’installation
Cette mise à jour de sécurité prend en charge les options d’installation suivantes.
| Options d'installation de la mise à jour de sécurité prises en charge | |
| Option | Description |
/help | Affiche les options de ligne de commande |
| Modes d'installation | |
/passive | Mode d'installation autonome. Aucune action de l'utilisateur n'est requise, mais le statut de l'installation s'affiche à l'écran. Si un redémarrage est requis à la fin de l'installation, une boîte de dialogue s'affichera, ainsi qu'un minuteur avertissant l'utilisateur que l'ordinateur redémarrera dans 30 secondes. |
/quiet | Mode silencieux. Similaire au mode autonome, mais aucun statut ni message d'erreur ne s'affichent. |
| Options de redémarrage | |
/norestart | Ne redémarre pas l'ordinateur une fois l'installation terminée |
/forcerestart | Redémarre l'ordinateur après l'installation et force les autres applications à se fermer lors de l'arrêt, sans enregistrer préalablement les fichiers ouverts. |
/warnrestart[:x] | Affiche une boîte de dialogue ainsi qu'un minuteur, avertissant l'utilisateur que l'ordinateur redémarrera dans X secondes (le réglage par défaut est de 30 secondes). Conçu pour une utilisation avec les options /quiet ou /passive. |
/promptrestart | Affiche une boîte de dialogue invitant l'utilisateur local à autoriser le redémarrage |
| Options spéciales | |
/overwriteoem | Écrase les fichiers OEM sans message d'invite |
/nobackup | Ne crée pas de copie de sauvegarde des fichiers nécessaires à la désinstallation |
/forceappsclose | Force d'autres programmes à se fermer lorsque l'ordinateur s'arrête |
/log: path | Permet la redirection des fichiers journaux d'installation |
/integrate:path | Intègre la mise à jour aux fichiers source Windows situés au chemin spécifié. Ces fichiers sont situés au chemin spécifié par cette option. |
/extract[:path] | Extrait les fichiers sans exécuter le programme d'installation |
/ER | Autorise un rapport d'erreurs étendu |
/verbose | Autorise une journalisation détaillée. Crée le journal %Windir%\CabBuild.log durant l'installation. Ce journal détaille les fichiers qui sont copiés. L'utilisation de cette option peut ralentir l'installation. |
Remarque : Vous pouvez associer ces options dans une seule ligne de commande. Pour des raisons de compatibilité ascendante, la mise à jour de sécurité prend en charge la majorité des options des versions précédentes du programme d’installation. Pour plus d’informations sur les options d’installation prises en charge, consultez l'article 262841 de la Base de connaissances Microsoft. Pour plus d'informations sur le programme d'installation Update.exe, rendez-vous sur le site Web Microsoft TechNet .
Informations sur le déploiement
Pour installer cette mise à jour de sécurité sans intervention de l'utilisateur, utilisez la commande suivante à une invite de commande pour Windows Server 2003 :
Windowsserver2003-kb914798-x86-enu /quiet
Remarque : L'utilisation de l'option /quiet supprimera tous les messages, y compris les messages d'échec. Les administrateurs doivent utiliser l'une des méthodes prises en charge pour vérifier le bon déroulement de l'installation lorsqu'ils utilisent l'option /quiet. Ils doivent également vérifier la présence de messages d'échec dans le fichier journal KB914798.log lorsqu'ils utilisent cette option.
Pour plus d'informations sur le déploiement de cette mise à jour de sécurité avec Software Update Services, consultez le site Web Software Update Services . Pour plus d’informations sur le déploiement de cette mise à jour de sécurité avec Windows Server Update Services, consultez le site Web Windows Server Update Services . Cette mise à jour sera également disponible sur le site Web Microsoft Update.
Nécessité de redémarrer
Cette mise à jour ne nécessite pas le redémarrage de l’ordinateur. Le programme d'installation arrête les services requis, applique la mise à jour, puis redémarre les services. Toutefois, si les services requis ne peuvent pas être arrêtés pour quelque raison que ce soit ou si les fichiers requis sont en cours d'utilisation, cette mise à jour nécessitera un redémarrage. Dans ce cas, un message s'affiche pour vous demander de redémarrer. Pour éviter la nécessité d'un redémarrage, arrêtez tous les services affectés et fermez toutes les applications susceptibles d'utiliser les fichiers affectés avant d'installer la mise à jour de sécurité. Pour plus d'informations sur les raisons pouvant justifier un redémarrage, consultez l'article 887012 de la Base de connaissances Microsoft.
Informations sur la désinstallation
Cette mise à jour ne peut pas être désinstallée. Pour en savoir plus sur la suppression manuelle des modifications effectuées par cette mise à jour, consultez l'article 914798 de la Base de connaissances Microsoft.
Informations sur les fichiers
Puisque cette mise à jour modifie seulement les propriétés système des services identifiés, aucun nouveau fichier binaire n'est appliqué au système après l'installation de la mise à jour.
Pour plus d’informations sur ce sujet, consultez l’article 824994 de la Base de connaissances Microsoft.
Pour en savoir plus sur le programme d'installation Update.exe, rendez-vous sur le site Web Microsoft TechNet .
Pour plus d'informations concernant la terminologie qui apparaît dans ce bulletin (telle que correctif), consultez l'article 824684 de la Base de connaissances Microsoft.
Vérification de l'application de la mise à jour
| • | Microsoft Baseline Security Analyzer Pour vérifier qu'une mise à jour de sécurité a bien été appliquée sur un système affecté, vous pouvez utiliser l'outil Microsoft Baseline Security Analyzer (MBSA). MBSA permet aux administrateurs de rechercher les mises à jour manquantes et les erreurs de configuration de sécurité sur les systèmes locaux et distants. Pour plus d'informations sur l'outil MBSA, consultez le site Web Microsoft Baseline Security Analyzer |
| • | Vérification de la clé de Registre Vous pouvez également vérifier quels fichiers ont été installés par cette mise à jour en consultant la clé de Registre suivante : Windows Server 2003, Web Edition, Windows Server 2003, Standard Edition, Windows Server 2003, Enterprise Edition, Windows Server 2003, Datacenter Edition, Windows Small Business Server 2003, Windows Server 2003, Enterprise Edition pour systèmes Itanium et Windows Server 2003, Datacenter Edition pour systèmes Itanium : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP1\KB914798\Filelist Remarque : Il se peut que cette clé de Registre ne contienne pas la liste complète des fichiers installés. En outre, elle peut ne pas être créée correctement si un administrateur ou un fabricant OEM intègre ou diffuse la mise à jour de sécurité dans les fichiers source d'installation de Windows. |
Windows XP |
Conditions requises
Cette mise à jour nécessite Microsoft Windows XP Service Pack 1. Pour plus d'informations, consultez l'article 322389 de la Base de connaissances Microsoft.
Intégration aux futurs Service Packs :
La mise à jour corrigeant ce problème est incluse dans Windows XP Service Pack 2.
Informations concernant l’installation
Cette mise à jour de sécurité prend en charge les options d’installation suivantes.
| Options d'installation de la mise à jour de sécurité prises en charge | |
| Option | Description |
/help | Affiche les options de ligne de commande |
| Modes d'installation | |
/passive | Mode d'installation autonome. Aucune action de l'utilisateur n'est requise, mais le statut de l'installation s'affiche à l'écran. Si un redémarrage est requis à la fin de l'installation, une boîte de dialogue s'affichera, ainsi qu'un minuteur avertissant l'utilisateur que l'ordinateur redémarrera dans 30 secondes. |
/quiet | Mode silencieux. Similaire au mode autonome, mais aucun statut ni message d'erreur ne s'affichent. |
| Options de redémarrage | |
/norestart | Ne redémarre pas l'ordinateur une fois l'installation terminée |
/forcerestart | Redémarre l'ordinateur après l'installation et force les autres applications à se fermer lors de l'arrêt, sans enregistrer préalablement les fichiers ouverts. |
/warnrestart[:x] | Affiche une boîte de dialogue ainsi qu'un minuteur, avertissant l'utilisateur que l'ordinateur redémarrera dans X secondes (le réglage par défaut est de 30 secondes). Conçu pour une utilisation avec les options /quiet ou /passive. |
/promptrestart | Affiche une boîte de dialogue invitant l'utilisateur local à autoriser le redémarrage |
| Options spéciales | |
/overwriteoem | Écrase les fichiers OEM sans message d'invite |
/nobackup | Ne crée pas de copie de sauvegarde des fichiers nécessaires à la désinstallation |
/forceappsclose | Force d'autres programmes à se fermer lorsque l'ordinateur s'arrête |
/log:path | Permet la redirection des fichiers journaux d'installation |
/integrate:path | Intègre la mise à jour aux fichiers source Windows situés au chemin spécifié. Ces fichiers sont situés au chemin spécifié par cette option. |
/extract[:path] | Extrait les fichiers sans exécuter le programme d'installation |
/ER | Autorise un rapport d'erreurs étendu |
/verbose | Autorise une journalisation détaillée. Crée le journal %Windir%\CabBuild.log durant l'installation. Ce journal détaille les fichiers qui sont copiés. L'utilisation de cette option peut ralentir l'installation. |
Remarque : Vous pouvez associer ces options dans une seule ligne de commande. Pour des raisons de compatibilité ascendante, la mise à jour de sécurité prend en charge les options des versions précédentes du programme d’installation. Pour plus d’informations sur les options d’installation prises en charge, consultez l'article 262841 de la Base de connaissances Microsoft. Pour plus d'informations sur le programme d'installation Update.exe, rendez-vous sur le site Web Microsoft TechNet .
Informations sur le déploiement
Pour installer cette mise à jour de sécurité sans intervention de l'utilisateur, utilisez la commande suivante à une invite de commande Microsoft Windows XP :
Windowsxp-kb914798-x86-enu /quiet
Remarque : L'utilisation de l'option /quiet supprimera tous les messages, y compris les messages d'échec. Les administrateurs doivent utiliser l'une des méthodes prises en charge pour vérifier le bon déroulement de l'installation lorsqu'ils utilisent l'option /quiet. Ils doivent également vérifier la présence de messages d'échec dans le fichier journal KB914798.log lorsqu'ils utilisent cette option.
Nécessité de redémarrer
Cette mise à jour ne nécessite pas le redémarrage de l’ordinateur. Le programme d'installation arrête les services requis, applique la mise à jour, puis redémarre les services. Toutefois, si les services requis ne peuvent pas être arrêtés pour quelque raison que ce soit ou si les fichiers requis sont en cours d'utilisation, cette mise à jour nécessitera un redémarrage. Dans ce cas, un message s'affiche pour vous demander de redémarrer. Pour plus d'informations sur les raisons pouvant justifier un redémarrage, consultez l'article 887012 de la Base de connaissances Microsoft.
Informations sur la désinstallation
Cette mise à jour ne peut pas être désinstallée. Pour en savoir plus sur la suppression manuelle des modifications effectuées par cette mise à jour, consultez l'article 914798 de la Base de connaissances Microsoft.
Puisque cette mise à jour modifie seulement les propriétés système des services identifiés, aucun nouveau fichier binaire n'est appliqué au système après l'installation de la mise à jour.
Vérification de l'application de la mise à jour
| • | Microsoft Baseline Security Analyzer Pour vérifier qu'une mise à jour de sécurité a bien été appliquée sur un système affecté, vous pouvez utiliser l'outil Microsoft Baseline Security Analyzer (MBSA). MBSA permet aux administrateurs de rechercher les mises à jour manquantes et les erreurs de configuration de sécurité sur les systèmes locaux et distants. Pour plus d'informations sur l'outil MBSA, consultez le site Web Microsoft Baseline Security Analyzer |
| • | Vérification de la clé de Registre Vous pouvez également vérifier quels fichiers ont été installés par cette mise à jour en consultant la clé de Registre suivante : Pour Windows XP Édition familiale Service Pack 1, Windows XP Professional Service Pack 1, Windows XP Édition Tablet PC, Windows XP Media Center Edition : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP2\KB914798\Filelist Remarque : Il se peut que cette clé de Registre ne contienne pas la liste complète des fichiers installés. En outre, elle peut ne pas être créée correctement si un administrateur ou un fabricant OEM intègre ou diffuse la mise à jour de sécurité dans les fichiers source d'installation de Windows. |
Remerciements
Microsoft remercie les organismes ci-dessous pour avoir contribué à la protection de ses clients :
| • | Andres Tarasco du groupe Sia |
Pour obtenir d’autres mises à jour de sécurité :
Les mises à jour relatives à d'autres problèmes de sécurité sont disponibles aux adresses suivantes :
| • | Les mises à jour de sécurité sont disponibles sur le Centre de téléchargement Microsoft |
| • | Les mises à jour pour plates-formes grand public sont disponibles sur le site Web Microsoft Update. |
Support technique :
| • | En cas de problème, contactez les services de support technique de Microsoft. Les appels au Support technique concernant les mises à jour de sécurité ne sont pas facturés par Microsoft. |
| • | Nos clients internationaux peuvent joindre le Support technique de leur filiale Microsoft locale. Le support technique ayant trait aux mises à jour de sécurité n'est pas facturé par Microsoft. Pour savoir comment contacter le Support Microsoft, consultez le site International Support. |
Ressources de sécurité :
| • | Le site Web Espace Sécurité TechNet fournit d'autres informations sur la sécurité dans les produits Microsoft. |
| • | |
| • | |
| • | |
| • | |
| • | |
| • | Catalogue Windows Update : Pour plus d'informations sur le Catalogue Windows Update, consultez l'article 323166 de la Base de connaissances Microsoft. |
| • |
Software Update Services :
Microsoft Software Update Services (SUS) permet aux administrateurs de déployer de façon rapide et fiable les dernières mises à jour critiques et les mises à jour de sécurité vers les serveurs Windows 2000 et Windows Server 2003, ainsi que vers les systèmes de bureau exécutant Windows 2000 Professionnel ou Windows XP Professionnel.
Pour plus d'informations sur le déploiement de cette mise à jour de sécurité avec Software Update Services, consultez le site Web Software Update Services .
Windows Server Update Services :
Windows Server Update Services (WSUS) permet aux administrateurs de déployer de façon rapide et fiable les dernières mises à jour critiques et les mises à jour de sécurité pour les systèmes d'exploitation Windows 2000 et versions ultérieures, Office XP et versions ultérieures, Exchange Server 2003 et SQL Server 2000 sur Windows 2000 et versions ultérieures.
Pour plus d'informations sur le déploiement de cette mise à jour de sécurité avec Windows Server Update Services, consultez le site Web Windows Server Update Services .
Systems Management Server :
Microsoft Systems Management Server (SMS) propose une solution d'entreprise pleinement configurable pour la gestion des mises à jour. Avec SMS, les administrateurs peuvent identifier les systèmes Windows qui ont besoin d'une mise à jour de sécurité et exécuter le déploiement contrôlé de ces mises à jour dans l'ensemble de l'entreprise en dérangeant le moins possible les utilisateurs. Pour plus d'informations sur la façon dont les administrateurs peuvent utiliser SMS 2003 pour déployer les mises à jour de sécurité, consultez le site Web Gestion des correctifs de sécurité SMS 2003 . Les utilisateurs SMS 2.0 peuvent aussi recourir au Feature Pack Software Updates Service pour faciliter le déploiement de leurs mises à jour de sécurité. Pour plus d'informations sur SMS, consultez le site Web SMS.
Remarque : SMS utilise Microsoft Baseline Security Analyzer, l'outil de détection de Microsoft Office et l'outil d'analyse des mises à jour pour entreprise pour offrir une assistance étendue à la détection et au déploiement des correctifs proposés dans les bulletins de sécurité. Il se peut que certaines mises à jour logicielles ne soient pas détectées par ces outils. Dans ce cas, il est possible d'utiliser les capacités d'inventaire de SMS pour cibler les mises à jour vers des ordinateurs spécifiques. Pour plus d'informations sur cette procédure, consultez le site Web suivant. Certaines mises à jour de sécurité peuvent requérir des privilèges d'administrateur après redémarrage du système. Pour installer ces mises à jour, les administrateurs peuvent utiliser l’outil de déploiement avec élévation des droits (disponible dans le Feature Pack d'administration SMS 2003 et dans le Feature Pack d'administration 2.0 ).
Dédit de responsabilité :
Les informations contenues dans la Base de connaissances Microsoft sont fournies "en l'état", sans garantie d'aucune sorte. Microsoft exclut toute garantie, expresse ou implicite, notamment toute garantie de qualité et d'adéquation à un usage particulier. En aucun cas la société Microsoft ou ses fournisseurs ne pourront être tenus pour responsables de quelque dommage que ce soit, y compris toute perte de bénéfices directe, indirecte ou accessoire, ou de dommages spéciaux, même si la société Microsoft a été prévenue de l'éventualité de tels dommages. Certains pays n'autorisent pas l'exclusion ou la limitation de responsabilité pour les dommages indirects ou accessoires, de sorte que la limitation ci-dessus peut ne pas vous concerner.
Révisions :
| • | V1.0 (14 mars 2006) : Bulletin publié. |
| • | V1.1 (17 mars 2006) : Pour Windows Server 2003, la section Vérification des fichiers est mise à jour afin de refléter la clé de Registre appropriée pour la détection de fichiers. |
| • | V2.0 (13 juin 06) : Cette mise à jour a été révisée pour inclure les valeurs de Registre mises à jour pour les services NetBT, RemoteAccess et TCPIP. Ces valeurs ont été modifiées pour être les mêmes que celles de Windows XP Service Pack 2 sur les systèmes Windows XP Service Pack 1 et les mêmes que celles de Windows 2003 Service Pack 1 sur les systèmes Windows 2003 sur lesquels aucun Service Pack n'a été installé. Nous encourageons les clients à appliquer cette mise à jour révisée pour une sécurité supplémentaire contre une élévation de privilèges par ces services, selon les instructions de la section "Précisions sur la vulnérabilité" de ce bulletin de sécurité. |
| • | V2.1 14 juin 2006 : Bulletin mis à jour pour préciser que les systèmes Windows 2003 sans Service Pack ne sont pas affectés par la réédition du 13 juin 2006. |