Bulletin de sécurité Microsoft MS07-017

Nous n'avons identifié aucune solution de contournement pour cette vulnérabilité.

Quelle est la portée de cette vulnérabilité ? 
Il s’agit d’une vulnérabilité d’élévation de privilèges. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Pour exploiter cette vulnérabilité, un attaquant doit être en mesure d’ouvrir une session au niveau local sur le système et d’exécuter un programme.

Quelle est la cause de cette vulnérabilité ? 
Cette vulnérabilité est due à une gestion incorrecte de la mémoire réservée au noyau Windows par le moteur de rendu graphique lorsqu'il traite des fichiers WMF et EMF.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ? 
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté.

Comment un attaquant peut-il exploiter cette vulnérabilité ? 
Pour exploiter cette vulnérabilité, un attaquant doit d’abord ouvrir une session sur le système. Un attaquant devrait ensuite tenter d'exécuter un programme qui pourrait exploiter la vulnérabilité en tant qu'utilisateur et prendre le contrôle intégral du système affecté.

Quels sont les systèmes les plus exposés à cette vulnérabilité ? 
Les postes de travail sont les plus exposés à cette vulnérabilité. Les serveurs pourraient être plus exposés si les administrateurs autorisent les utilisateurs à ouvrir une session sur ces serveurs et à y exécuter des programmes. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

Cette vulnérabilité peut-elle être exploitée sur Internet ? 
Non. L’attaquant doit être en mesure d’ouvrir une session sur le système qu’il souhaite attaquer. Il ne peut pas charger et exécuter un programme à distance à l’aide de cette vulnérabilité.

Que fait cette mise à jour ? 
Cette mise à jour supprime la vulnérabilité en modifiant la façon dont le descripteur est créé.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ? 
Oui. Bien que le rapport initial ait été fourni par divulgation responsable, la vulnérabilité a été publiée ultérieurement par le même chercheur en sécurité. Elle a reçu le numéro de « Common Vulnerability and Exposure » CVE-2006-5758. Elle a également été appelée Vulnérabilité d'élévation locale de privilèges liée à l'interface GDI du noyau par la communauté des spécialistes de la sécurité. Ce bulletin de sécurité résout la vulnérabilité révélée publiquement, ainsi que les autres problèmes apparus lors des analyses menées en interne.

Lors de la parution de ce bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ? 
Non. Lors de la première publication de ce bulletin, Microsoft avait vu des exemples et des preuves de la publication d’un tel code, mais n’avait reçu aucune information indiquant que cette vulnérabilité avait été utilisée pour attaquer des clients.

L'application de la présente mise à jour de sécurité permet-elle de protéger vos clients contre le code qui a été publié et qui tente d'exploiter cette vulnérabilité ? 
Oui. Cette mise à jour de sécurité corrige la vulnérabilité qui pourrait être exploitée en utilisant un tel code. Cette vulnérabilité a reçu le numéro de "Common Vulnerability and Exposure" CVE-2006-5758.

Microsoft a testé les solutions de contournement ci-dessous. Elles ne corrigent pas la vulnérabilité sous-jacente, mais elles permettent de bloquer les vecteurs d'attaque connus. Lorsqu'une solution de contournement réduit une fonctionnalité, elle est identifiée dans la section suivante :

Quelle est la portée de cette vulnérabilité ?
Il s'agit d'une vulnérabilité de déni de service. Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait empêcher le système affecté de répondre et le forcer à redémarrer automatiquement. Sachez que cette vulnérabilité de déni de service ne permet pas à un attaquant d’exécuter un code ou d’élever ses privilèges, mais peut amener le système affecté à ne plus accepter les requêtes.

Quelle est la cause de cette vulnérabilité ?
Cette vulnérabilité est due à une tentative de lecture sur une valeur contenant une référence mémoire invalide.

Qu'est-ce que le format d'image Windows Metafile (WMF) ?
WMF (Windows Metafile) est un format de métafichier 16 bits capable de contenir à la fois des informations vecteur et des informations bitmap. Il est optimisé pour le système d'exploitation Windows.

Pour plus d’informations concernant les types et les formats d'image, consultez l'Article 320314 de la Base de connaissances Microsoft. Des informations complémentaires concernant ces formats de fichier sont également disponibles sur le site Web de la bibliothèque MSDN.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait empêcher le système affecté de répondre et pourrait le forcer à redémarrer.

Qui pourrait exploiter cette vulnérabilité ?
Pour une attaque Web, l'attaquant doit héberger un site Web qui contient une page Web conçue pour exploiter cette vulnérabilité. Un attaquant n'aurait aucun moyen d'obliger les utilisateurs à visiter un site Web malveillant. Il devrait y attirer l'utilisateur, l'incitant à cliquer sur un lien qui mène à ce site. Il pourrait également afficher un contenu Web spécialement conçu en imitant des panneaux publicitaires ou d'autres moyens afin d'envoyer du contenu Web aux systèmes affectés.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?
Sur les systèmes affectés, cette vulnérabilité pourrait être exploitable par un attaquant s'il parvient à convaincre un utilisateur d'ouvrir un fichier ou de visualiser un dossier contenant une image spécialement conçue. Un attaquant n'a aucun moyen de forcer un utilisateur à ouvrir un fichier spécialement conçu, si ce n'est potentiellement via la prévisualisation d'un message électronique.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Les postes de travail et les serveurs Terminal Server sont les plus exposés. Les serveurs présentent plus de risques si des utilisateurs ne disposant pas d'autorisations d'administration suffisantes sont autorisés à y ouvrir une session et à y exécuter des programmes ou naviguer sur Internet. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

J'utilise Internet Explorer sur Windows Server 2003. Ceci atténue-t-il cette vulnérabilité ?
Oui. Par défaut, Internet Explorer sur Windows Server 2003 s'exécute selon un mode restreint nommé Configuration de sécurité améliorée. Ce mode définit le niveau de sécurité pour la zone Internet sur Élevé. C'est un facteur atténuant pour les sites Web qui n'ont pas été ajoutés à la zone Sites de confiance d'Internet Explorer.

Qu'est-ce que la Configuration de sécurité améliorée d'Internet Explorer ?
La Configuration de sécurité améliorée d'Internet Explorer est un groupe de paramètres Internet Explorer pré-configurés qui réduit le risque qu'un utilisateur ou qu'un administrateur ne télécharge et n'exécute un contenu Web malveillant sur un serveur. La Configuration de sécurité améliorée d'Internet Explorer réduit ce risque en modifiant de nombreux paramètres liés à la sécurité. Ceci inclut les paramètres des onglets Sécurité et Avancé dans la boîte de dialogue Options Internet. Parmi les principales modifications :

Pour plus d’informations sur la Configuration de sécurité améliorée d'Internet Explorer, consultez le guide "Managing Internet Explorer Enhanced Security Configuration" (Gestion de la configuration de sécurité améliorée d’Internet Explorer), sur ce site Web.

Que fait cette mise à jour ?
Cette mise à jour supprime la vulnérabilité en modifiant la façon dont les systèmes d'exploitation affectés valident des entrées de message dans certaines conditions.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable.

Nous n'avons identifié aucun facteur atténuant pour cette vulnérabilité.

Nous n'avons identifié aucune solution de contournement pour cette vulnérabilité.

Quelle est la portée de cette vulnérabilité ? 
Il s’agit d’une vulnérabilité d’élévation de privilèges. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Pour exploiter cette vulnérabilité, un attaquant doit être en mesure d’ouvrir une session au niveau local sur le système et d’exécuter un programme.

Quelle est la cause de cette vulnérabilité ? 
Un tampon non contrôlé lors du rendu des images au format Enhanced Metafile (EMF).

Qu'est-ce que le format d'image Enhanced Metafile (EMF) ?  
EMF (Enhanced Metafile) est un format de métafichier 32 bits capable de contenir à la fois des informations vecteur et des informations bitmap.

Pour plus d’informations concernant les types et les formats d'image, consultez l'Article 320314 de la Base de connaissances Microsoft. Des informations complémentaires concernant ces formats de fichier sont également disponibles sur le site Web de la bibliothèque MSDN.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté.

Comment un attaquant peut-il exploiter cette vulnérabilité ? 
Pour exploiter cette vulnérabilité, un attaquant doit d’abord ouvrir une session sur le système. Un attaquant devrait ensuite tenter d'exécuter un programme qui pourrait exploiter la vulnérabilité en tant qu'utilisateur et prendre le contrôle intégral du système affecté.

Quels sont les systèmes les plus exposés à cette vulnérabilité ? 
Les postes de travail sont les plus exposés à cette vulnérabilité. Les serveurs pourraient être plus exposés si les administrateurs autorisent les utilisateurs à ouvrir une session sur ces serveurs et à y exécuter des programmes. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

Cette vulnérabilité peut-elle être exploitée sur Internet ? 
Non. L’attaquant doit être en mesure d’ouvrir une session sur le système qu’il souhaite attaquer. Il ne peut pas charger et exécuter un programme à distance à l’aide de cette vulnérabilité.

Que fait cette mise à jour ?
Cette mise à jour supprime la vulnérabilité en modifiant les versions affectées du système d'exploitation valident la longueur d’un message avant de le transmettre au tampon alloué.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable.

Pour exploiter cette vulnérabilité, un attaquant doit être en mesure d’ouvrir une session au niveau local. Cette vulnérabilité ne peut pas être exploitée à distance ou par des utilisateurs anonymes.

Nous n'avons identifié aucune solution de contournement pour cette vulnérabilité.

Quelle est la portée de cette vulnérabilité ?
Il s’agit d’une vulnérabilité d’élévation de privilèges. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Pour exploiter cette vulnérabilité, un attaquant doit être en mesure d’ouvrir une session au niveau local sur le système et d’exécuter un programme.

Quelle est la cause de cette vulnérabilité ?
Cette vulnérabilité est due au traitement des tailles invalides de fenêtres d'application.

Qu'est-ce que Graphics Device Interface (GDI) ?
L'interface graphique GDI (Graphics Device Interface) de Windows permet aux applications d'utiliser des graphiques et du texte formatté sur l'affichage vidéo et sur les imprimantes. Les applications n'accèdent pas directement au matériel graphique. L'interface GDI intéragit à leur place avec les pilotes de périphérique. Pour plus d’informations sur GDI, visitez ce site Web MSDN.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté.

Comment un attaquant peut-il exploiter cette vulnérabilité ?
Un attaquant pourrait exploiter cette vulnérabilité en créant une application spécifique et en l'exécutant sur un système affecté. L'application pourrait créer une série de fenêtres superposées transmettant un paramètre invalide. Ainsi, un attaquant pourrait prendre le contrôle complet du système affecté.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?
Les postes de travail sont les plus exposés à cette vulnérabilité. Les serveurs pourraient être plus exposés si les administrateurs autorisent les utilisateurs à ouvrir une session sur ces serveurs et à y exécuter des programmes. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

Cette vulnérabilité peut-elle être exploitée sur Internet ?
Non. L’attaquant doit être en mesure d’ouvrir une session sur le système qu’il souhaite attaquer. Il ne peut pas charger et exécuter un programme à distance à l’aide de cette vulnérabilité.

Que fait cette mise à jour ?
Cette mise à jour corrige la vulnérabilité en vérifiant la taille des fenêtres d'application avant de les transmettre au tampon alloué.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Lors de la première publication de ce bulletin, Microsoft n’avait reçu aucune information faisant état d'une divulgation publique de cette vulnérabilité.

Lors de la parution de ce bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?
Non. Lors de la première publication de ce bulletin, Microsoft n’avait reçu aucune information indiquant que cette vulnérabilité avait été utilisée pour attaquer des clients, et n’avait pas la connaissance de la publication d’un tel code.

Microsoft a testé les solutions de contournement ci-dessous. Elles ne corrigent pas la vulnérabilité sous-jacente, mais elles permettent de bloquer les vecteurs d'attaque connus. Lorsqu'une solution de contournement réduit une fonctionnalité, elle est identifiée dans la section suivante :

Quelle est la portée de cette vulnérabilité ?
Il s'agit d'une vulnérabilité d'exécution de code à distance. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux disposant de privilèges d’administration.

Qu'est-ce que les curseurs animés ?
Les curseurs animés sont une fonctionnalité permettant d'afficher une série d'images à la place d'une image simple à l'emplacement du pointeur de la souris. L'extension associée aux curseurs animés est .ani.

Si je bloque les fichiers utilisant l'extension .ani, suis-je protégé des tentatives d'exploitation de cette vulnérabilité ? 
Non. Cette vulnérabilité n'est pas liée à l'extension .ani. D'autres types d'images peuvent être utilisés afin d'exploiter cette vulnérabilité.

Quelle est la cause de cette vulnérabilité ?
Il existe une vulnérabilité dans la manière dont Windows valide les formats avant le traitement des curseurs, curseurs animés et icônes.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté.

Comment un attaquant peut-il exploiter cette vulnérabilité ?  
Un attaquant pourrait tenter d'exploiter cette vulnérabilité en créant une page Web malveillante. Un attaquant pourrait également créer un message électronique spécialement conçu et l'envoyer à un utilisateur d'un système affecté. Lors de l'affichage d'une page Web, d'un message spécialement conçu ou lors de l'ouverture d'une pièce jointe spécifique, l'attaquant pourrait forcer le système affecté à exécuter du code. Bien que les curseurs animés soient généralement associés aux fichiers d'extension .ani, les attaques possibles ne sont pas limitées à ce type de fichier.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Les postes de travail et les serveurs Terminal Server sont les plus exposés. Les serveurs présentent plus de risques si des utilisateurs ne disposant pas d'autorisations d'administration suffisantes sont autorisés à y ouvrir une session et à y exécuter des programmes ou naviguer sur Internet. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

Que fait cette mise à jour ?
Cette mise à jour corrige cette vulnérabilité en modifiant la manière dont les formats des curseurs, curseurs animés et icônes sont validés avant d'être traités.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro « Common Vulnerability and Exposure » CVE-2007-0038.

Lors de la parution de ce bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?
Oui. Lors de la parution de ce bulletin de sécurité, Microsoft avait été informé de l’exploitation de cette vulnérabilité.

Quelle est la réponse de Microsoft quant à la disponibilité de correctifs de tierces parties pour cette vulnérabilité ?
Microsoft recommande le téléchargement et le déploiement de la mise à jour de sécurité associée à ce Bulletin de sécurité.

De manière générale, il est préférable d’utiliser les mises à jour de sécurité proposées par l’éditeur des logiciels concernés. Concernant ces logiciels, Microsoft vérifie et teste soigneusement les mises à jour de sécurité afin d’en assurer la qualité et la compatibilité applicative. En outre, les mises à jour de sécurité de Microsoft sont proposées simultanément dans 23 langues pour toutes les versions affectées d’un logiciel.

Microsoft ne peut pas fournir une telle garantie pour les mises à jour de sécurité ou correctifs de tierces parties.

L'application de la présente mise à jour de sécurité permet-elle de protéger vos clients contre le code qui a été publié et qui tente d'exploiter cette vulnérabilité ?
Oui. Cette mise à jour de sécurité corrige la vulnérabilité actuellement exploitée. Cette vulnérabilité a reçu le numéro de "Common Vulnerability and Exposure" CVE-2007-0038.

Pour exploiter cette vulnérabilité, l’attaquant doit disposer d’informations d’identification valides pour ouvrir une session en local. Cette vulnérabilité ne peut pas être exploitée à distance ou par des utilisateurs anonymes.

Nous n'avons identifié aucune solution de contournement pour cette vulnérabilité.

Quelle est la portée de cette vulnérabilité ?
Il s'agit d'une vulnérabilité d'élévation locale des privilèges. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Quelle est la cause de cette vulnérabilité ?
Lorsqu'un programme traite les types d'images affectés, il transmet des paramètres relatifs à la couleur à un tampon mémoire non contrôlé dans GDI.

Qu'est-ce que Graphics Device Interface (GDI) ?
L'interface graphique GDI (Graphics Device Interface) de Windows permet aux applications d'utiliser des graphiques et du texte formatté sur l'affichage vidéo et sur les imprimantes. Les applications n'accèdent pas directement au matériel graphique. L'interface GDI intéragit à leur place avec les pilotes de périphérique. Pour plus d’informations sur GDI, visitez ce site Web MSDN.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?
Cette vulnérabiltié expose aux attaques tour programme gérant les types d'images affectés. L'attaquant pourrait ouvrir une session en local sur le système et exécuter une application afin d'exploiter cette vulnérabilité.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?
Les postes de travail et les serveurs Terminal Server sont les plus exposés. Les serveurs pourraient être plus exposés si les administrateurs autorisent les utilisateurs à ouvrir une session sur ces serveurs et à y exécuter des programmes ou à y afficher des pages Web. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

Que fait cette mise à jour ?
Cette mise à jour corrige cette vulnérabilité en modifiant la manière dont l'interface graphique GDI valide la longueur des données avant de les transmettre au tampon alloué.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable.

Toute tentative visant à exploiter cette vulnérabilité aboutirait selon toute vraisemblance à un déni de service causé par un redémarrage inattendu du système affecté plutôt que par l'élévation locale des privilèges.

Nous n'avons identifié aucune solution de contournement pour cette vulnérabilité.

Quelle est la portée de cette vulnérabilité ? 
Il s'agit d'une vulnérabilité d'élévation locale des privilèges. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Un attaquant disposant d’informations d’identification valides pourrait installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Quelle est la cause de cette vulnérabilité ? 
Lors du traitement de polices modifiées ou défectueuses, le tramage des polices TrueType peut appeler un pointeur de fonction non initialisé.

Qu'est-ce que le tramage de police TrueType ? 
Le tramage de police TrueType génère les bitmaps des caractères pour les écrans et les imprimantes, également connus comme périphériques à tramage.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ? 
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté.

Qui pourrait exploiter cette vulnérabilité ?  
Pour essayer d'exploiter cette vulnérabilité, un attaquant doit être en mesure d’ouvrir une session au niveau local sur un système et d’exécuter un programme.

Comment un attaquant peut-il exploiter cette vulnérabilité ? 
Un attaquant pourrait créer une application utilisant une police spécialement conçue afin de prendre le contrôle intégral du système affecté lorsque le tramage des polices TrueType tente de la traiter.

Quels sont les systèmes les plus exposés à cette vulnérabilité ? 
Les postes de travail et les serveurs Terminal Server sont les plus exposés. Les serveurs pourraient être plus exposés si les administrateurs autorisent les utilisateurs à ouvrir une session sur ces serveurs et à y exécuter des programmes. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

Que fait cette mise à jour ? 
La mise à jour supprime la vulnérabilité en modifiant la manière dont le tramage initialise les polices TrueType.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ? 
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable.