Bulletin de sécurité Microsoft MS05-054

Microsoft a testé les solutions ci-dessous. Elles ne corrigent pas la vulnérabilité sous-jacente, mais elles permettent de bloquer les vecteurs d’attaque connus. Les solutions réduisant les fonctionnalités sont identifiées dans la section suivante.

Vous pouvez vous protéger contre cette vulnérabilité en modifiant vos paramètres de manière à ce qu'ils désactivent Active Scripting ou à ce qu'ils vous avertissent avant de l'exécuter dans la zone de sécurité Intranet local et Internet. Pour ce faire, procédez comme suit :

Remarque : La désactivation de Active Scripting dans les zones de sécurité Intranet local et Internet risque de perturber le fonctionnement de certains sites Web. Si vous rencontrez des difficultés pour visiter un site Web après avoir modifié ce paramètre et que vous êtes certain de la fiabilité de ce site, vous pouvez ajouter ce dernier à votre liste de sites de confiance. Il pourra ainsi s'afficher correctement.

Impact de cette solution : L’affichage d’un message de confirmation avant l’exécution d'Active Scripting comporte des effets secondaires. De nombreux sites Web situés sur Internet ou sur un intranet utilisent Active Scripting pour offrir des fonctionnalités supplémentaires. Par exemple, un site de commerce électronique en ligne ou un site bancaire peuvent utiliser Active Scripting pour proposer des menus, des bons de commande ou même des relevés de compte. L’affichage d’un message de confirmation avant l’exécution d'Active Scripting est un paramètre global qui affecte tous les sites Internet et intranet. De nombreux messages s’affichent lorsque vous mettez en œuvre cette solution. Pour chacun d’eux, si vous pensez que le site que vous visitez est un site de confiance, cliquez sur Oui afin d’exécuter Active Scripting. Si vous ne souhaitez pas recevoir de message de confirmation pour tous ces sites, utilisez la solution "Restriction des sites Web aux sites Web de confiance uniquement".

Vous pouvez vous protéger contre cette vulnérabilité en modifiant les paramètres de la zone de sécurité Internet afin d’afficher un message de confirmation avant l’exécution des contrôles ActiveX et Active Scripting. Pour ce faire, réglez la sécurité de votre navigateur sur la valeur Élevé.

Pour augmenter le niveau de sécurité de navigation dans Microsoft Internet Explorer :

Impact de cette solution : L’affichage d’un message de confirmation avant l’exécution des contrôles ActiveX et d'Active Scripting comporte des effets secondaires. De nombreux sites Web situés sur Internet ou sur un intranet utilisent ActiveX ou Active Scripting pour offrir des fonctionnalités supplémentaires. Par exemple, un site de commerce électronique en ligne ou un site bancaire peuvent utiliser des contrôles ActiveX pour proposer des menus, des bons de commande ou même des relevés de compte. L’affichage d’un message de confirmation avant l’exécution d'Active Scripting ou de contrôles ActiveX est un paramètre global qui affecte tous les sites Internet et intranet. De nombreux messages s’affichent lorsque vous mettez en œuvre cette solution. Pour chacun d’eux, si vous pensez que le site que vous visitez est un site de confiance, cliquez sur Oui afin d’exécuter les contrôles ActiveX ou Active Scripting. Si vous ne souhaitez pas recevoir de message de confirmation pour tous ces sites, utilisez la solution "Restriction des sites Web aux sites Web de confiance uniquement".

Après avoir configuré Internet Explorer de telle sorte que des messages de confirmation s’affichent avant l’exécution des contrôles ActiveX et d'Active Scripting dans les zones Internet et Intranet local, vous pouvez ajouter des sites de confiance dans la zone Sites de confiance d’Internet Explorer. Cette opération vous permettra de continuer à utiliser vos sites de confiance exactement comme vous le faites aujourd’hui, tout en vous protégeant contre cette attaque sur les autres sites. Nous vous recommandons d’ajouter uniquement des sites de confiance à la zone Sites de confiance.

Pour ce faire, procédez comme suit :

Ajoutez les sites dont vous savez qu’ils ne peuvent pas effectuer d’action malveillante sur votre ordinateur. Vous pouvez notamment ajouter le site "*.windowsupdate.microsoft.com" (sans les guillemets). Il s’agit du site qui héberge la mise à jour et il requiert un contrôle ActiveX pour son installation.

Quelle est la portée de cette vulnérabilité ?
Il s’agit d’une vulnérabilité d’exécution de code à distance qui s'appuie en grande partie sur l'ingénierie sociale. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral d'un système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Cependant, l’exploitation de cette vulnérabilité nécessiterait une interaction non négligeable avec l’utilisateur.

Quelle est la cause de cette vulnérabilité ?
Cette vulnérabilité s'appuie en grande partie sur l'ingénierie sociale et sur la manière dont Internet Explorer affiche les boîtes de dialogue de téléchargement de fichier et accepte les saisies utilisateur sur une page Web. Cette interaction peut se faire sous forme de certaines frappes clavier effectuées par l'utilisateur lorsqu'il se trouve sur une page Web. Il se peut également qu'une boîte de dialogue personnalisée soit placée en premier plan d'une boîte de dialogue de téléchargement de fichier afin de rendre le stratagème plus convaincant. Un utilisateur peut aussi être persuadé de double-cliquer sur un élément d'une page Web.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Pour une attaque Web, l'attaquant doit héberger un site Web qui exploite cette vulnérabilité. Un attaquant n’aurait aucun moyen de forcer un utilisateur à visiter un site Web malveillant. Il doit y attirer l’utilisateur, en l’incitant à cliquer sur un lien qui mène à son site. Il est également possible d'afficher un contenu Web malveillant en utilisant des panneaux publicitaires ou d'autres moyens permettant d'envoyer du contenu Web aux systèmes affectés.

Comment un attaquant peut-il exploiter cette vulnérabilité ?
Un attaquant pourrait héberger un site Web malveillant conçu pour exploiter cette vulnérabilité via Internet Explorer, puis persuader un utilisateur d'afficher ce site Web. Attention : Cette vulnérabilité s'appuie en grande partie sur l'ingénierie sociale et sur l'interaction d'un utilisateur avec le site Web de l'attaquant.

Quels sont les systèmes qui encourent le plus de risques face à cette vulnérabilité ?
Cette vulnérabilité ne permet l’exécution d’une action nuisible que si un utilisateur a ouvert une session et qu'il visite et interagisse avec un site Web. C’est pourquoi les systèmes sur lesquels Internet Explorer est fréquemment utilisé (comme les postes de travail des utilisateurs ou les serveurs de terminaux) encourent les plus grands risques face à cette vulnérabilité.

Windows 98, Windows 98 Deuxième édition ou Windows Millennium Edition sont-ils affectés de manière critique par cette vulnérabilité ?
Non. Bien que Windows 98, Windows 98 Deuxième édition et Windows Millennium Edition contiennent le composant affecté, leur vulnérabilité n’est pas critique parce qu'elle nécessite une interaction non négligeable avec l’utilisateur. Pour plus d'informations sur les indices de gravité, consultez ce site Web.

Que fait cette mise à jour ?
Cette mise à jour supprime la vulnérabilité en s'assurant que le résultat d'une interaction utilisateur avec une page Web ou une boîte de dialogue ne puisse pas être transféré à la boîte de dialogue de téléchargement de fichier.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable.

Microsoft a testé les solutions ci-dessous. Elles ne corrigent pas la vulnérabilité sous-jacente, mais elles permettent de bloquer les vecteurs d’attaque connus. Les solutions réduisant les fonctionnalités sont identifiées dans la section suivante.

Vous pouvez vous protéger contre cette vulnérabilité en évitant d'utiliser des serveurs proxy nécessitant une authentification de base dans votre entreprise ou de ne pas configurer les serveurs proxy d'authentification comme des serveurs proxy pour la communication HTTPS.

Impact de cette solution : Les applications nécessitant une authentification de base risquent de ne pas fonctionner correctement.

Quelle est la portée de cette vulnérabilité ?
Il s'agit d'une vulnérabilité de divulgation d'informations. Cette vulnérabilité pourrait permettre à un attaquant de lire des adresses Web en clair sur le réseau entre Internet Explorer et le serveur proxy malgré la connexion HTTPS sécurisée. Ce serveur proxy nécessite également que les systèmes client utilisent une authentification de base.

Quelle est la cause de cette vulnérabilité ?
Cette vulnérabilité se manifeste si le système client est configuré de manière à utiliser un serveur proxy nécessitant une authentification de base pour les communications HTTPS.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Cette vulnérabilité pourrait permettre à un attaquant de lire des adresses Web en clair sur le réseau entre Internet Explorer et le serveur proxy malgré la connexion HTTPS sécurisée. Ce serveur proxy nécessite également que les systèmes client utilisent une authentification de base.

Qu'est-ce que HTTPS et l'authentification de base ?
HTTPS est un protocole qui permet de sécuriser les communications HTTP. Chaque fois que vous visitez un site Web avec Internet Explorer et que vous voyez une icône de verrou jaune dans le coin inférieur droit de la fenêtre du navigateur, cela signifie que la session en cours est protégée par HTTPS.

L'authentification de base consiste à envoyer des informations d'identification au serveur proxy sous forme de texte clair ou codé en Base64. L’encodage Base64 bits n'est pas une technique de chiffrement et est considérée égale au texte clair. Pour plus d’informations sur les différentes méthodes d'authentification, consultez la documentation produit .

Qu'est-ce qu'un serveur proxy ?
Un serveur proxy est un serveur configuré pour agir pour le compte de clients assignés. Lorsqu'une application client lance une requête d'objet sur Internet, un serveur proxy sur le réseau privé répond en traduisant la requête et en la transmettant à Internet. Lorsqu'un ordinateur sur Internet répond, le serveur proxy transmet la réponse à l'application client sur l'ordinateur à l'origine de la requête.

Comment un attaquant peut-il exploiter cette vulnérabilité ?
Un attaquant pourrait analyser le trafic réseau entre le système client et un serveur proxy nécessitant une authentification de base et qui traite également les connexions HTTPS.

Quels sont les systèmes qui encourent le plus de risques face à cette vulnérabilité ?
Cette vulnérabilité ne permet l’exécution d’une action nuisible que si un utilisateur a ouvert une session et qu'il visite un site Web. C’est pourquoi les systèmes sur lesquels Internet Explorer est fréquemment utilisé (comme les postes de travail des utilisateurs ou les serveurs de terminaux) encourent les plus grands risques face à cette vulnérabilité.

Windows 98, Windows 98 Deuxième édition et Windows Millennium Edition sont-ils affectés de manière critique par cette vulnérabilité ?
Non. Bien que Windows 98, Windows 98 Deuxième édition et Windows Millennium Edition contiennent le composant affecté, leur vulnérabilité n’est pas critique. Pour plus d'informations sur les indices de gravité, consultez ce site Web.

Que fait cette mise à jour ?
Cette mise à jour élimine la vulnérabilité en s’assurant que Internet Explorer utilise la connexion HTTPS au serveur proxy lors de l'envoi d'URL.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Oui. Cette vulnérabilité a été révélée publiquement.

Microsoft a testé les solutions ci-dessous. Elles ne corrigent pas la vulnérabilité sous-jacente, mais elles permettent de bloquer les vecteurs d’attaque connus. Les solutions réduisant les fonctionnalités sont identifiées dans la section suivante.

Vous pouvez vous protéger contre cette vulnérabilité en modifiant vos paramètres de manière à ce qu'ils désactivent les contrôles ActiveX ou à ce qu'ils vous avertissent avant de les exécuter dans la zone de sécurité Intranet local et Internet. Pour ce faire, procédez comme suit :

Remarque : La désactivation des contrôles ActiveX dans les zones de sécurité Intranet local et Internet risque de perturber le fonctionnement de certains sites Web. Si vous rencontrez des difficultés pour visiter un site Web après avoir modifié ce paramètre et que vous êtes certain de la fiabilité de ce site, vous pouvez ajouter ce dernier à votre liste de sites de confiance. Il pourra ainsi s'afficher correctement.

Impact de cette solution : L’affichage d’un message de confirmation avant l’exécution des contrôles ActiveX comporte des effets secondaires. De nombreux sites Web situés sur Internet ou sur un intranet utilisent les contrôles ActiveX pour offrir des fonctionnalités supplémentaires. Par exemple, un site de commerce électronique en ligne ou un site bancaire peuvent utiliser des contrôles ActiveX pour proposer des menus, des bons de commande ou même des relevés de compte. L’affichage d’un message de confirmation avant l’exécution des contrôles ActiveX est un paramètre global qui affecte tous les sites Internet et intranet. De nombreux messages s’affichent lorsque vous mettez en œuvre cette solution. Pour chacun d’eux, si vous pensez que le site que vous visitez est un site de confiance, cliquez sur Oui afin d’exécuter les contrôles ActiveX. Si vous ne souhaitez pas recevoir de message de confirmation pour tous ces sites, utilisez la solution "Restriction des sites Web aux sites Web de confiance uniquement".

Vous pouvez vous protéger contre cette vulnérabilité en modifiant vos paramètres pour la zone de sécurité Internet afin d’afficher un message de confirmation avant l’exécution des contrôles ActiveX. Pour ce faire, réglez la sécurité de votre navigateur sur la valeur Élevé.

Pour augmenter le niveau de sécurité de navigation dans Microsoft Internet Explorer :

Impact de cette solution : L’affichage d’un message de confirmation avant l’exécution des contrôles ActiveX comporte des effets secondaires. De nombreux sites Web situés sur Internet ou sur un intranet utilisent les contrôles ActiveX pour offrir des fonctionnalités supplémentaires. Par exemple, un site de commerce électronique en ligne ou un site bancaire peuvent utiliser des contrôles ActiveX pour proposer des menus, des bons de commande ou même des relevés de compte. L’affichage d’un message de confirmation avant l’exécution des contrôles ActiveX est un paramètre global qui affecte tous les sites Internet et intranet. De nombreux messages s’affichent lorsque vous mettez en œuvre cette solution. Pour chacun d’eux, si vous pensez que le site que vous visitez est un site de confiance, cliquez sur Oui afin d’exécuter les contrôles ActiveX. Si vous ne souhaitez pas recevoir de message de confirmation pour tous ces sites, utilisez la solution "Restriction des sites Web aux sites Web de confiance uniquement".

Après avoir configuré Internet Explorer de telle sorte que des messages de confirmation s’affichent avant l’exécution des contrôles ActiveX et d'Active Scripting dans les zones Internet et Intranet local, vous pouvez ajouter des sites de confiance dans la zone Sites de confiance d’Internet Explorer. Cette opération vous permettra de continuer à utiliser vos sites de confiance exactement comme vous le faites aujourd’hui, tout en vous protégeant contre cette attaque sur les autres sites. Nous vous recommandons d’ajouter uniquement des sites de confiance à la zone Sites de confiance.

Pour ce faire, procédez comme suit :

Ajoutez les sites dont vous savez qu’ils ne peuvent pas effectuer d’action malveillante sur votre ordinateur. Vous pouvez notamment ajouter le site "*.windowsupdate.microsoft.com" (sans les guillemets). Il s’agit du site qui héberge la mise à jour et il requiert un contrôle ActiveX pour son installation.

Vous pouvez empêcher les tentatives d'exécution d'un objet COM dans Internet Explorer en définissant le paramètre kill bit relatif au contrôle dans le Registre.

Attention : Si vous n'utilisez pas correctement l'Éditeur du Registre, vous risquez de provoquer des problèmes graves pouvant nécessiter la réinstallation du système d'exploitation. Microsoft ne peut pas garantir qu'il soit possible de résoudre des problèmes résultant d'une mauvaise utilisation de l'éditeur du Registre. L'utilisation de l'éditeur du Registre relève de votre responsabilité.

Pour plus de détails sur la manière d'empêcher l'exécution d'un contrôle dans Internet Explorer, consultez l’article 240797 de la Base de connaissances de Microsoft. Suivez ces étapes et créez une valeur pour les indicateurs de compatibilité dans le Registre, afin d'empêcher un objet COM de s'instancier dans Internet Explorer.

Par exemple, pour définir le kill bit d'un CLSID dans le fichier Avifil32.dll inclus dans cette mise à jour, collez le texte suivant dans un éditeur de texte tel que Bloc-Notes. Enregistrez ensuite le fichier avec l'extension .reg.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002000D-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400

Vous pouvez double-cliquer sur ce fichier .reg pour l'appliquer à des systèmes individuels Vous pouvez également l'appliquer dans plusieurs domaines à l'aide de la Stratégie de groupe. Pour plus d'informations sur la Stratégie de groupe, visitez le site Web Microsoft suivant :

Collection Stratégie de groupe

Qu'est-ce que l'Éditeur d'objets de stratégie de groupe ?

Principaux outils et paramètres de stratégie de groupe

Remarque : Vous devez redémarrer Internet Explorer pour que vos changements prennent effet.

Impact de cette solution : Aucun impact, tant que l'objet COM n'a pas été conçu pour être utilisé Internet Explorer.

Quelle est la portée de cette vulnérabilité ?
Il s’agit d’une vulnérabilité d’exécution de code à distance. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral d'un système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Quelle est la cause de cette vulnérabilité ?
Lorsque Internet Explorer essaie d'instancier certains objets COM tels que les contrôles ActiveX, ces objets peuvent corrompre le système et permettre à un attaquant d'exécuter du code arbitraire.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Pour une attaque Web, l'attaquant doit héberger un site Web qui exploite cette vulnérabilité. Un attaquant n’aurait aucun moyen de forcer un utilisateur à visiter un site Web malveillant. Il doit y attirer l’utilisateur, en l’incitant à cliquer sur un lien qui mène à son site. Il est également possible d'afficher un contenu Web malveillant en utilisant des panneaux publicitaires ou d'autres moyens permettant d'envoyer du contenu Web aux systèmes affectés.

Comment un attaquant peut-il exploiter cette vulnérabilité ?
Un attaquant pourrait héberger un site Web malveillant, conçu pour exploiter cette vulnérabilité via Internet Explorer, puis persuader un utilisateur d'afficher ce site Web.

Quels sont les systèmes qui encourent le plus de risques face à cette vulnérabilité ?
Cette vulnérabilité ne permet l’exécution d’une action nuisible que si un utilisateur a ouvert une session et est en train de lire ses messages ou de visiter des sites Web. C’est pourquoi les systèmes sur lesquels la messagerie ou Internet Explorer sont fréquemment utilisés (comme les postes de travail ou les serveurs de terminaux) encourent les plus grands risques face à cette vulnérabilité.

Windows 98, Windows 98 Deuxième édition et Windows Millennium Edition sont-ils affectés de manière critique par cette vulnérabilité ?
Oui. Windows 98, Windows 98 Deuxième édition ou Windows Millennium Edition sont affectés de manière critique par cette vulnérabilité. Les mises à jour de sécurité sont disponibles sur le site Web Windows Update. Pour plus d'informations sur les indices de gravité, consultez ce site Web.

Que fait cette mise à jour ?
Parce que les objets COM n'ont pas tous été conçus pour être utilisés via Internet Explorer, cette mise à jour définit le kill bit pour une liste d'identificateurs de classe (CLSID) dans les objets COM ayant affiché des comportements similaires à ceux qui ont été affectés par la vulnérabilité de corruption de la mémoire d'instanciation d'objets COM corrigée dans le bulletin de sécurité Microsoft MS05-052. Cette mise à jour empêche les identificateurs de classe d'être instanciés dans Internet Explorer. Pour plus d’informations sur les paramètres kill bit, consultez l’article 240797 de la Base de connaissances de Microsoft.

Les identificateurs de classe et les objets COM correspondants sont les suivants :

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable.

Quel est le lien entre cette vulnérabilité et l'une des vulnérabilités qui a été corrigée par MS05-038 et MS05-052 ?
Ces deux bulletins corrigent les vulnérabilités de corruption de la mémoire d'instanciation d'objets COM. Cependant, cette mise à jour prend en charge également de nouveaux CLSID qui n’étaient pas traités dans MS05-038 et MS05-052. MS05-038 et MS05-052 contribuent à la protection contre l'exploitation des CLSID évoqués dans ces deux bulletins.

Microsoft a testé les solutions ci-dessous. Elles ne corrigent pas la vulnérabilité sous-jacente, mais elles permettent de bloquer les vecteurs d’attaque connus. Les solutions réduisant les fonctionnalités sont identifiées dans la section suivante.

Vous pouvez vous protéger contre cette vulnérabilité en modifiant vos paramètres de manière à ce qu'ils désactivent Active Scripting ou à ce qu'ils vous avertissent avant de l'exécuter dans la zone de sécurité Intranet local et Internet. Pour ce faire, procédez comme suit :

Remarque : La désactivation de Active Scripting dans les zones de sécurité Intranet local et Internet risque de perturber le fonctionnement de certains sites Web. Si vous rencontrez des difficultés pour visiter un site Web après avoir modifié ce paramètre et que vous êtes certain de la fiabilité de ce site, vous pouvez ajouter ce dernier à votre liste de sites de confiance. Il pourra ainsi s'afficher correctement.

Impact de cette solution : L’affichage d’un message de confirmation avant l’exécution d'Active Scripting comporte des effets secondaires. De nombreux sites Web situés sur Internet ou sur un intranet utilisent Active Scripting pour offrir des fonctionnalités supplémentaires. Par exemple, un site de commerce électronique en ligne ou un site bancaire peuvent utiliser Active Scripting pour proposer des menus, des bons de commande ou même des relevés de compte. L’affichage d’un message de confirmation avant l’exécution d'Active Scripting est un paramètre global qui affecte tous les sites Internet et intranet. De nombreux messages s’affichent lorsque vous mettez en œuvre cette solution. Pour chacun d’eux, si vous pensez que le site que vous visitez est un site de confiance, cliquez sur Oui afin d’exécuter Active Scripting. Si vous ne souhaitez pas recevoir de message de confirmation pour tous ces sites, utilisez la solution "Restriction des sites Web aux sites Web de confiance uniquement".

Vous pouvez vous protéger contre cette vulnérabilité en modifiant les paramètres de la zone de sécurité Internet afin d’afficher un message de confirmation avant l’exécution des contrôles ActiveX et Active Scripting. Pour ce faire, réglez la sécurité de votre navigateur sur la valeur Élevé.

Pour augmenter le niveau de sécurité de navigation dans Microsoft Internet Explorer :

Impact de cette solution : L’affichage d’un message de confirmation avant l’exécution des contrôles ActiveX et d'Active Scripting comporte des effets secondaires. De nombreux sites Web situés sur Internet ou sur un intranet utilisent ActiveX ou Active Scripting pour offrir des fonctionnalités supplémentaires. Par exemple, un site de commerce électronique en ligne ou un site bancaire peuvent utiliser des contrôles ActiveX pour proposer des menus, des bons de commande ou même des relevés de compte. L’affichage d’un message de confirmation avant l’exécution d'Active Scripting ou de contrôles ActiveX est un paramètre global qui affecte tous les sites Internet et intranet. De nombreux messages s’affichent lorsque vous mettez en œuvre cette solution. Pour chacun d’eux, si vous pensez que le site que vous visitez est un site de confiance, cliquez sur Oui afin d’exécuter les contrôles ActiveX ou Active Scripting. Si vous ne souhaitez pas recevoir de message de confirmation pour tous ces sites, utilisez la solution "Restriction des sites Web aux sites Web de confiance uniquement".

Après avoir configuré Internet Explorer de telle sorte que des messages de confirmation s’affichent avant l’exécution des contrôles ActiveX et d'Active Scripting dans les zones Internet et Intranet local, vous pouvez ajouter des sites de confiance dans la zone Sites de confiance d’Internet Explorer. Cette opération vous permettra de continuer à utiliser vos sites de confiance exactement comme vous le faites aujourd’hui, tout en vous protégeant contre cette attaque sur les autres sites. Nous vous recommandons d’ajouter uniquement des sites de confiance à la zone Sites de confiance.

Pour ce faire, procédez comme suit :

Ajoutez les sites dont vous savez qu’ils ne peuvent pas effectuer d’action malveillante sur votre ordinateur. Vous pouvez notamment ajouter le site "*.windowsupdate.microsoft.com" (sans les guillemets). Il s’agit du site qui héberge la mise à jour et il requiert un contrôle ActiveX pour son installation.

Quelle est la portée de cette vulnérabilité ?
Il s’agit d’une vulnérabilité d’exécution de code à distance. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral d'un système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Quelle est la cause de cette vulnérabilité ?
Lorsque Internet Explorer traite les objets DOM (Document Object Model) discordants, il peut corrompre la mémoire système et permettre ainsi à un attaquant d'exécuter du code arbitraire.

Par exemple, lorsque Internet Explorer affiche une page Web contenant un événement onLoad qui pointe vers un objet Windows, il peut corrompre la mémoire système et permettre ainsi à un attaquant d'exécuter du code arbitraire.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Pour une attaque Web, l'attaquant doit héberger un site Web qui exploite cette vulnérabilité. Un attaquant n’aurait aucun moyen de forcer un utilisateur à visiter un site Web malveillant. Il doit y attirer l’utilisateur, en l’incitant à cliquer sur un lien qui mène à son site. Il est également possible d'afficher un contenu Web malveillant en utilisant des panneaux publicitaires ou d'autres moyens permettant d'envoyer du contenu Web aux systèmes affectés.

Comment un attaquant peut-il exploiter cette vulnérabilité ?
Un attaquant pourrait héberger un site Web malveillant, conçu pour exploiter cette vulnérabilité via Internet Explorer, puis persuader un utilisateur d'afficher ce site Web.

Quels sont les systèmes qui encourent le plus de risques face à cette vulnérabilité ?
Cette vulnérabilité ne permet l’exécution d’une action nuisible que si un utilisateur a ouvert une session et se trouve sur un site Web. C’est pourquoi les systèmes sur lesquels Internet Explorer est fréquemment utilisé (comme les postes de travail des utilisateurs ou les serveurs de terminaux) encourent les plus grands risques face à cette vulnérabilité.

Windows 98, Windows 98 Deuxième édition et Windows Millennium Edition sont-ils affectés de manière critique par cette vulnérabilité ?
Oui. Windows 98, Windows 98 Deuxième édition ou Windows Millennium Edition sont affectés de manière critique par cette vulnérabilité. Les mises à jour de sécurité sont disponibles sur le site Web Windows Update. Pour plus d'informations sur les indices de gravité, consultez ce site Web.

Que fait cette mise à jour ?
La mise à jour supprime la vulnérabilité en modifiant la façon dont Internet Explorer traite les objets DOM (Document Object Model) discordants.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro de "Common Vulnerability and Exposure" CAN-2005-1790.

Lors de la parution de ce bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?
Oui. Lors de la parution de ce bulletin de sécurité, Microsoft avait été informé de l’exploitation de cette vulnérabilité.

L’application de la présente mise à jour de sécurité permet-elle de protéger vos clients contre le code qui a été publié et qui tente d’exploiter cette vulnérabilité ?
Oui. Cette mise à jour de sécurité corrige la vulnérabilité actuellement exploitée. La vulnérabilité en question a reçu le numéro "Common Vulnerability and Exposure" CAN-2005-1790.