Bulletin de sécurité Microsoft MS08-017 - Critique : Des vulnérabilités dans Microsoft Office Web Components pourraient permettre l'exécution de code à distance (933103)

Synthèse

Cette mise à jour critique corrige deux vulnérabilités signalées confidentiellement dans Microsoft Office Web Components. Cette vulnérabilité pourrait permettre l'exécution de code à distance si un utilisateur affichait une page Web spécialement conçue. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Il s'agit d'une mise à jour de sécurité critique pour les implémentations de Microsoft Office Web Components 2000 sur les éditions prises en charges de Microsoft Office 2000 Service Pack 3, Microsoft Office XP Service Pack 3, Visual Studio .NET 2002 Service Pack 1, Visual Studio .NET 2003 Service Pack 1, Microsoft BizTalk Server 2000, Microsoft BizTalk Server 2002, Microsoft Commerce Server 2000 et Internet Security and Acceleration Server 2000 Service Pack 2. Pour plus d'informations, consultez la sous-section « Logiciels concernés et non concernés » plus loin dans ce bulletin.

Cette mise à jour de sécurité corrige les vulnérabilités de sécurité en modifiant la façon dont Microsoft Office Web Components traite les erreurs et gère les ressources de mémoire ainsi qu'en définissant les kill bits pour les contrôles Microsoft Office Spreadsheet 2000. Pour obtenir plus d'informations sur les vulnérabilités, consultez la sous-section « Forum aux questions » spécifique à chaque vulnérabilité, dans la section « Informations par vulnérabilité ».

Recommandation : Microsoft recommande à ses clients d’appliquer cette mise à jour immédiatement.

Problèmes connus : L'Article 933103 de la Base de connaissances Microsoft décrit les problèmes connus auxquels les clients peuvent être confrontés lors de l'installation de cette mise à jour de sécurité ainsi que les solutions palliatives recommandées. Lorsque les problèmes connus et les solutions palliatives recommandées concernent uniquement certaines versions spécifiques du logiciel, cet article fournit les liens vers les articles respectifs.

Top of section

Logiciels concernés et non concernés

Microsoft a testé les logiciels répertoriés dans ce bulletin afin de déterminer les versions ou éditions concernées. Toute autre version ou édition a atteint la fin de son cycle de vie ou n'est pas affectée. Consultez le site Web Politique de Support Microsoft afin de connaître la politique de support Microsoft pour votre version ou édition.

Logiciels concernés

Suite Office et autres logiciels	Composant	Impact de sécurité maximal	Indice de gravité cumulée	Bulletins remplacés par cette mise à jour
Client
Microsoft Office 2000 Service Pack 3	Microsoft Office Web Components 2000 (KB931660)	Exécution de code à distance	Critique	Aucun.
Microsoft Office XP Service Pack 3	Microsoft Office Web Components 2000 (KB932031)	Exécution de code à distance	Critique	Aucun.
Visual Studio .NET 2002 Service Pack 1	Microsoft Office Web Components 2000 (KB933367)	Exécution de code à distance	Critique	Aucun.
Visual Studio .NET 2003 Service Pack 1	Microsoft Office Web Components 2000 (KB933369)	Exécution de code à distance	Critique	Aucun.
Serveur
Microsoft BizTalk Server 2000	Microsoft Office Web Components 2000 (KB939714)	Exécution de code à distance	Critique	Aucun.
Microsoft BizTalk Server 2002	Microsoft Office Web Components 2000 (KB939714)	Exécution de code à distance	Critique	Aucun.
Microsoft Commerce Server 2000	Microsoft Office Web Components 2000 (KB941305)	Exécution de code à distance	Critique	Aucun.
Internet Security and Acceleration (ISA) Server 2000 Service Pack 2	Microsoft Office Web Components 2000 (KB948257)	Exécution de code à distance	Critique	Aucun.

Logiciels non concernés

Suite Office
Microsoft Works 8
Microsoft Works 9
Microsoft Works Suite 2005
Microsoft Works Suite 2006
Microsoft Office 2003 Service Pack 2
Microsoft Office 2003 Service Pack 3
Microsoft Office System 2007
Microsoft Office System 2007 Service Pack 1
Microsoft BizTalk Server 2004
Microsoft BizTalk Server 2006
Microsoft Commerce Server 2000 Service Pack 1, Microsoft Commerce Server 2000 Service Pack 2 et Microsoft Commerce Server 2000 Service Pack 3
Microsoft Commerce Server 2002
Microsoft Commerce Server 2007
Internet Security and Acceleration Server 2004
Internet Security and Acceleration Server 2006

Top of section

Forum aux questions concernant la présente mise à jour de sécurité

Pourquoi cette mise à jour corrige-t-elle plusieurs vulnérabilités de sécurité ?
Cette mise à jour concerne plusieurs vulnérabilités, car les modifications nécessaires pour les corriger se situent dans des fichiers apparentés. Nos clients n’ont ainsi qu’une mise à jour à installer, plutôt que plusieurs mises à jour presque identiques.

Les logiciels concernés ne sont pas installés sur mon système, mais je dispose d'autres applications Microsoft Office installées. Pourquoi me demande-t-on de procéder à la mise à jour de sécurité ?
Les vulnérabilités décrites dans cette mise à jour de sécurité sont présentes dans Microsoft Office mais ne pourraient pas être exploitées à l'aide d'une des applications indiquées dans la liste « Logiciels non concernés ». Les applications Microsoft Office répertoriées dans la liste « Logiciels non concernés » utilisent certains des fichiers utilisés par les applications concernées par cette mise à jour. Nous recommandons d'installer cette mise à jour afin d'empêcher que la mise à jour soit de nouveau proposée.

J'utilise une version antérieure d'un logiciel décrit dans ce Bulletin de sécurité. Que dois-je faire ?
Microsoft a testé les logiciels répertoriés dans ce bulletin afin de déterminer quelles versions sont concernées. Les autres versions ont atteint la fin de leurs cycles de vie. Consultez le site Web Politique de Support Microsoft afin de connaître la politique de support Microsoft pour votre produit et votre version.

Les clients qui utilisent une des versions antérieures de ces logiciels doivent prioritairement passer à des versions bénéficiant du support Microsoft, afin de prévenir leur exposition potentielle aux vulnérabilités. Pour plus d’informations sur le cycle de support des produits Windows, visitez le site Web Politique de Support Microsoft. Pour plus d'informations sur la période de prise en charge des mises à jour de sécurité pour ces versions de systèmes d'exploitation, consultez le site Web des services de support technique de Microsoft.

Les clients nécessitant un support supplémentaire pour des logiciels plus anciens doivent prendre contact avec leur responsable de compte Microsoft, leur responsable technique de compte ou le partenaire Microsoft approprié pour connaître les options de support personnalisé. Les clients ne bénéficiant pas d'un Contrat Alliance, Premier ou Authorized peuvent appeler leur agence commerciale locale Microsoft. Pour les informations de contact, visitez le site Web Microsoft Worldwide Information, sélectionnez le pays puis cliquez sur Go pour afficher une liste de numéros de téléphone. Pour plus d'informations, consultez le Forum aux questions sur la politique de support des systèmes d'exploitation Windows.

Top of section

Indices de gravité et identificateurs de vulnérabilité

Indice de gravité par vulnérabilité et Impact de sécurité maximal par logiciel concerné
Logiciels concernés	Vulnérabilité liée au traitement des adresses URL dans Office Web Components - CVE-2006-4695	Vulnérabilité DataSource dans Office Web Components - CVE-2007-1201	Indice de gravité cumulée
Microsoft Office Web Components 2000	Critique Exécution de code à distance	Critique Exécution de code à distance	Critique

Top of section

Vulnérabilité liée au traitement des adresses URL dans Office Web Components - CVE-2006-4695

Il existe dans une vulnérabilité d'exécution de code à distance dans la façon dont Microsoft Office Web Components gère les ressources de mémoire lors du traitement d'adresses URL spécialement conçues. Un attaquant pourrait exploiter cette vulnérabilité en créant une page Web malveillante. Lorsqu'un utilisateur affiche cette page Web, cette vulnérabilité pourrait permettre l'exécution de code à distance. Un attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur connecté. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Pour afficher cette vulnérabilité en tant qu'entrée standard dans la liste « Common Vulnerabilities and Exposures », consultez la référence CVE-2006-4695.

Facteurs atténuants concernant la vulnérabilité liée au traitement des adresses URL dans Office Web Components - CVE-2006- 4695

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

•	Pour une attaque Web, l'attaquant devrait héberger un site Web qui contiendrait une page Web spécialement conçue pour exploiter cette vulnérabilité. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent des contenus ou des annonces provenant d'utilisateurs pourraient contenir un contenu malveillant susceptible d'exploiter cette vulnérabilité. Cependant, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Il devrait y attirer l’utilisateur, généralement en l’incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.
•	Tout attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.
•	Par défaut, toutes les versions de Microsoft Outlook prises en charge et Microsoft Outlook Express ouvrent les messages au format HTML dans la zone Sites sensibles. La zone Sites sensibles contribue à réduire les attaques qui tenteraient d’exploiter cette vulnérabilité en empêchant l'utilisation des contrôles ActiveX lors de la lecture de messages au format HTML. Cependant, en cliquant sur un lien figurant dans un message électronique, l'utilisateur s'expose toujours à une attaque Web.
•	Par défaut, Internet Explorer sur Windows Server 2003 s'exécute selon un mode restreint nommé Configuration de sécurité améliorée. Ce mode définit le niveau de sécurité pour la zone Internet sur Élevé. C'est un facteur atténuant pour les sites Web qui n'ont pas été ajoutés à la zone Sites de confiance d'Internet Explorer. Pour plus d'informations sur la Configuration de sécurité améliorée d'Internet Explorer, reportez-vous à la section Forum aux questions de ce bulletin de sécurité.

Top of section

Solutions de contournement concernant la vulnérabilité liée au traitement des adresses URL dans Office Web Components - CVE-2006- 4695

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

•

Bloquer l'exécution de la bibliothèque Office Web Components dans Internet Explorer.

Vous pouvez empêcher l'exécution de la bibliothèque Office Web Components dans Internet Explorer en définissant le kill bit pour le contrôle de la bibliothèque dans le Registre.

Avertissement : Si vous n'utilisez pas correctement l'Éditeur du Registre, vous risquez de créer de sérieux problèmes et d'avoir à réinstaller votre système d'exploitation. Microsoft ne peut pas garantir qu'il soit possible de résoudre des problèmes résultant d'une mauvaise utilisation de l'Éditeur du Registre. L'utilisation de l'Éditeur du Registre relève de votre responsabilité. Pour savoir comment modifier le Registre, consultez la rubrique d’Aide "Modifier des clés et des valeurs" dans l’Éditeur du Registre (Regedit.exe) ou les rubriques d’Aide "Ajouter et supprimer des informations dans le Registre" et "Modifier les données du Registre" dans Regedt32.exe.

Remarque : Nous vous conseillons de sauvegarder le Registre avant de le modifier.

Pour plus de détails sur la manière d'empêcher l'exécution d'un contrôle dans Office Web Components, consultez l'Article 240797 de la Base de connaissances Microsoft. Suivez les étapes de cet article et créez une valeur pour les indicateurs de compatibilité dans le Registre afin d'empêcher l'exécution de la bibliothèque Office Web components :

Remarque : Les identificateurs de classe et les fichiers correspondants contenant les objets de bibliothèque sont décrits en détail dans la section « Que fait cette mise à jour ? » du Forum aux questions. Remplacez {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX} ci-dessous par les identificateurs de classe mentionnés dans cette section.

•

Pour définir le kill bit d'un identificateur de classe CLSID de valeur {0002E510-0000-0000-C000-000000000046} et {0002E511-0000-0000-C000-000000000046}, collez le texte suivant dans un éditeur de texte, tel que Bloc-notes. Puis, enregistrez ensuite le fichier avec l'extension .reg.

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E510-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E511-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400

Vous pouvez double-cliquer sur ce fichier .reg pour l'appliquer à des systèmes individuels. Vous pouvez également l'appliquer dans plusieurs domaines à l'aide de la Stratégie de groupe. Pour plus d'informations sur la Stratégie de groupe, consultez le site Web Microsoft suivant :

•	Collection Stratégie de groupe
•	Qu'est-ce que l'Éditeur d'objets de stratégie de groupe ?
•	Principaux outils et paramètres de la stratégie de groupe

Remarque : Vous devez redémarrer Internet Explorer pour que vos changements prennent effet.

Impact de cette solution de contournement : La désactivation de Office Web Components empêche Internet Explorer d'instancier le contrôle. Cette configuration provoque des problèmes de compatibilité entre programmes lorsque les fonctionnalités de Office Web Components sont requises.

Comment annuler la solution de contournement : Vous pouvez annuler la solution de contournement décrite ci-dessus en suivant les étapes suivantes :

Avertissement : Si vous n'utilisez pas correctement l'Éditeur du Registre, vous risquez de créer de sérieux problèmes et d'avoir à réinstaller votre système d'exploitation. Microsoft ne peut pas garantir qu'il soit possible de résoudre des problèmes résultant d'une mauvaise utilisation de l'Éditeur du Registre. L'utilisation de l'Éditeur du Registre relève de votre responsabilité. Pour savoir comment modifier le Registre, consultez la rubrique d’Aide "Modifier des clés et des valeurs" dans l’Éditeur du Registre (Regedit.exe) ou les rubriques d’Aide "Ajouter et supprimer des informations dans le Registre" et "Modifier les données du Registre" dans Regedt32.exe.

Remarque : Nous vous conseillons de sauvegarder le Registre avant de le modifier.

•

Pour désactiver le kill bit d'un identificateur de classe CLSID de valeur {0002E510-0000-0000-C000-000000000046}, collez le texte suivant dans un éditeur de texte, tel que Bloc-notes. Puis, enregistrez ensuite le fichier avec l'extension .reg.

Windows Registry Editor Version 5.00

;CLSID_OWC9_Spreadsheet, {0002E510-0000-0000-C000-000000000046}
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E510-0000-0000-C000-000000000046}]

;CLSID_OWC9_Spreadsheet, {0002E511-0000-0000-C000-000000000046}
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E511-0000-0000-C000-000000000046}]

•

Désinscription de la bibliothèque Office Web Components 2000

Avertissement : Si vous n'utilisez pas correctement le programme Éditeur du Registre, vous risquez de créer de sérieux problèmes et d'avoir à réinstaller votre système d'exploitation. Microsoft ne peut pas garantir qu'il soit possible de résoudre des problèmes résultant d'une mauvaise utilisation de l'Éditeur du Registre. L'utilisation de l'Éditeur du Registre relève de votre responsabilité. Pour savoir comment modifier le Registre, consultez la rubrique d’Aide "Modifier des clés et des valeurs" dans l’Éditeur du Registre (Regedit.exe) ou les rubriques d’Aide "Ajouter et supprimer des informations dans le Registre" et "Modifier les données du Registre" dans Regedt32.exe.

Remarque : Nous vous conseillons de sauvegarder le Registre avant de le modifier.

•	Pour Office 2000, tapez le texte suivant à l'invite de commande et sélectionnez Exécuter : Regsvr32.exe /u "C:\Program Files\Microsoft Office\Office\MSOWC.DLL"
•	Pour Office XP, tapez le texte suivant à l'invite de commande et sélectionnez Exécuter : Regsvr32.exe /u "C:\Program Files\Microsoft Office\Office\MSOWC.DLL"

Impact de cette solution de contournement : Les applications nécessitant les fonctionnalités Office Web Components ne fonctionneront pas.

Comment annuler la solution de contournement : Pour réinscrire Office Web Components 2000, suivez les étapes suivantes :

•	Pour Office 2000, tapez le texte suivant à l'invite de commande et sélectionnez Exécuter : Regsvr32.exe "C:\Program Files\Microsoft Office\Office\MSOWC.DLL"
•	Pour Office XP, tapez le texte suivant à l'invite de commande et sélectionnez Exécuter : Regsvr32.exe "C:\Program Files\Microsoft Office\Office\MSOWC.DLL"

Top of section

Forum aux questions concernant la vulnérabilité liée au traitement des adresses URL dans Office Web Components - CVE-2006- 4695

Quelle est la portée de cette vulnérabilité ?
Il s'agit d'une vulnérabilité d'exécution de code à distance. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Quelle est la cause de cette vulnérabilité ?
Une erreur dans le traitement d'une commande d'exécution spécialement conçue peut corrompre la mémoire système de telle façon qu'un attaquant pourrait exécuter du code arbitraire.

Qu'est-ce que Office Web Components ?
Microsoft Office Web Components est un ensemble de contrôles COM (Component Object Model) utilisés pour la publication de feuilles de calcul, de graphiques et de bases de données sur le Web ainsi que pour l'affichage de composants publiés sur le Web.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?
Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Comment un attaquant peut-il exploiter cette vulnérabilité ?
Un attaquant pourrait héberger un site Web malveillant conçu pour exploiter cette vulnérabilité via Internet Explorer, puis inciter un utilisateur à consulter ce site Web. Sont également concernés les sites Web compromis et les sites Web acceptant ou hébergeant des contenus ou des publicités provenant d'utilisateurs. Ces sites Web pourraient contenir du code spécialement conçu capable d'exploiter cette vulnérabilité. Cependant, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Il devrait y attirer l’utilisateur, généralement en l’incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site. Il pourrait également afficher un contenu Web spécialement conçu en imitant des panneaux publicitaires ou d'autres moyens afin d'envoyer du contenu Web aux systèmes affectés.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?
Les postes de travail et les serveurs Terminal Server sur lesquels Microsoft Office Web Components est installé sont les plus exposés. Les serveurs pourraient être plus exposés si les administrateurs autorisent les utilisateurs à ouvrir une session sur ces serveurs et à y exécuter des programmes. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

J'utilise Internet Explorer pour Windows Server 2003. Ceci limite-t-il cette vulnérabilité ?
Oui. Par défaut, Internet Explorer sur Windows Server 2003 s'exécute selon un mode restreint nommé Configuration de sécurité améliorée. La Configuration de sécurité améliorée d'Internet Explorer est un groupe de paramètres Internet Explorer préconfigurés qui réduit le risque qu'un utilisateur ou qu'un administrateur ne télécharge et n'exécute un contenu Web spécialement conçu sur un serveur. C'est un facteur atténuant pour les sites Web qui n'ont pas été ajoutés à la zone Sites de confiance d'Internet Explorer. Consultez également le guide « Gestion de la configuration de sécurité améliorée d'Internet Explorer ».

Que fait cette mise à jour ?
Cette mise à jour corrige un problème de sécurité connu et détermine le kill bit d'une liste d'identificateurs de classe (CLSID) pour Office Web Components. Cette mise à jour empêche ces identificateurs de classe d'être instanciés dans Internet Explorer. Pour plus d’informations sur les paramètres kill bit, consultez l’article 240797 de la Base de connaissances de Microsoft.

Les identificateurs de classe et les fichiers correspondants qui contiennent les objets COM sont les suivants :

Identificateur de classe	Fichier
0002E510-0000-0000-C000-000000000046	CLSID_OWC9_Spreadsheet
0002E511-0000-0000-C000-000000000046

Qu'est-ce qu'un kill bit ?
Le kill bit est une méthode qui empêche un contrôle ActiveX d'être invoqué via Internet Explorer même s'il est présent sur le système. (Vous pouvez obtenir plus d'informations sur le kill bit dans l'Article 240797 de la Base de connaissances Microsoft). En général, lorsqu'une vulnérabilité de sécurité implique un contrôle ActiveX, la mise à jour de sécurité fournit un nouveau contrôle et définit le kill bit sur le contrôle vulnérable.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable. Lors de la première publication de ce bulletin, Microsoft n’avait reçu aucune information faisant état d'une divulgation publique de cette vulnérabilité. Ce bulletin de sécurité résout la vulnérabilité révélée confidentiellement, ainsi que les autres problèmes apparus lors des analyses menées en interne.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?
Non. Lors de la première publication de ce bulletin, Microsoft n’avait reçu aucune information indiquant que cette vulnérabilité avait été utilisée pour attaquer des clients, et n’avait pas la connaissance de la publication d’un tel code.

Top of section

Vulnérabilité DataSource dans Office Web Components – CVE-2007-1201

Il existe une vulnérabilité d'exécution de code à distance dans la façon dont Microsoft Office Web Components gère les ressources de mémoire. Un attaquant pourrait exploiter cette vulnérabilité en créant une page Web malveillante. Lorsqu'un utilisateur affiche cette page Web, cette vulnérabilité pourrait permettre l'exécution de code à distance. Un attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur connecté. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Pour afficher cette vulnérabilité en tant qu'entrée standard dans la liste « Common Vulnerabilities and Exposures », consultez la référence CVE-2007-1201.

Facteurs atténuants concernant la vulnérabilité DataSource dans Office Web Components – CVE-2007-1201

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

•	Pour une attaque Web, l'attaquant devrait héberger un site Web qui contiendrait une page Web spécialement conçue pour exploiter cette vulnérabilité. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent des contenus ou des annonces provenant d'utilisateurs pourraient contenir un contenu malveillant susceptible d'exploiter cette vulnérabilité. Cependant, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Il devrait y attirer l’utilisateur, généralement en l’incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.
•	Tout attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.
•	Par défaut, toutes les versions de Microsoft Outlook prises en charge et Microsoft Outlook Express ouvrent les messages au format HTML dans la zone Sites sensibles. La zone Sites sensibles contribue à réduire les attaques qui tenteraient d’exploiter cette vulnérabilité en empêchant l'utilisation des contrôles ActiveX lors de la lecture de messages au format HTML. Cependant, en cliquant sur un lien figurant dans un message électronique, l'utilisateur s'expose toujours à une attaque Web.
•	Par défaut, Internet Explorer sur Windows Server 2003 s'exécute selon un mode restreint nommé Configuration de sécurité améliorée. Ce mode définit le niveau de sécurité pour la zone Internet sur Élevé. C'est un facteur atténuant pour les sites Web qui n'ont pas été ajoutés à la zone Sites de confiance d'Internet Explorer. Pour plus d'informations sur la Configuration de sécurité améliorée d'Internet Explorer, reportez-vous à la section Forum aux questions de ce bulletin de sécurité.

Top of section

Solutions de contournement concernant la vulnérabilité DataSource dans Office Web Components – CVE-2007-1201

•

Bloquer l'exécution de la bibliothèque Office Web Components dans Internet Explorer.

Vous pouvez empêcher l'exécution de la bibliothèque Office Web Components dans Internet Explorer en définissant le kill bit pour le contrôle de la bibliothèque dans le Registre.

Avertissement : Si vous n'utilisez pas correctement l'Éditeur du Registre, vous risquez de créer de sérieux problèmes et d'avoir à réinstaller votre système d'exploitation. Microsoft ne peut pas garantir qu'il soit possible de résoudre des problèmes résultant d'une mauvaise utilisation de l'Éditeur du Registre. L'utilisation de l'Éditeur du Registre relève de votre responsabilité. Pour savoir comment modifier le Registre, consultez la rubrique d’Aide "Modifier des clés et des valeurs" dans l’Éditeur du Registre (Regedit.exe) ou les rubriques d’Aide "Ajouter et supprimer des informations dans le Registre" et "Modifier les données du Registre" dans Regedt32.exe.

Remarque : Nous vous conseillons de sauvegarder le Registre avant de le modifier.

Pour plus de détails sur la manière d'empêcher l'exécution d'un contrôle dans Office Web Components, consultez l'Article 240797 de la Base de connaissances Microsoft. Suivez les étapes de cet article et créez une valeur pour les indicateurs de compatibilité dans le Registre afin d'empêcher l'exécution de la bibliothèque Office Web components :

Remarque : Les identificateurs de classe et les fichiers correspondants contenant les objets de bibliothèque sont décrits en détail dans la section « Que fait cette mise à jour ? » du Forum aux questions. Remplacez {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX} ci-dessous par les identificateurs de classe mentionnés dans cette section.

•

Pour définir le kill bit d'un identificateur de classe CLSID de valeur {0002E533-0000-0000-C000-000000000046}, collez le texte suivant dans un éditeur de texte, tel que Bloc-notes. Puis, enregistrez ensuite le fichier avec l'extension .reg.

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E533-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400

•

Pour définir le kill bit d'un identificateur de classe CLSID de valeur {0002E530-0000-0000-C000-000000000046}, collez le texte suivant dans un éditeur de texte, tel que Bloc-notes. Puis, enregistrez ensuite le fichier avec l'extension .reg.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E530-0000-0000-C000-000000000046}]
"Compatibility Flags"=dword:00000400

Vous pouvez double-cliquer sur ce fichier .reg pour l'appliquer à des systèmes individuels. Vous pouvez également l'appliquer dans plusieurs domaines à l'aide de la Stratégie de groupe. Pour plus d'informations sur la Stratégie de groupe, consultez le site Web Microsoft suivant :

•	Collection Stratégie de groupe
•	Qu'est-ce que l'Éditeur d'objets de stratégie de groupe ?
•	Principaux outils et paramètres de la stratégie de groupe

Remarque : Vous devez redémarrer Internet Explorer pour que vos changements prennent effet.

Impact de cette solution de contournement : Les applications nécessitant les fonctionnalités Office Web Components ne fonctionneront pas.

Comment annuler la solution de contournement : Vous pouvez annuler la solution de contournement décrite ci-dessus en suivant les étapes suivantes :

Avertissement : Si vous n'utilisez pas correctement l'Éditeur du Registre, vous risquez de créer de sérieux problèmes et d'avoir à réinstaller votre système d'exploitation. Microsoft ne peut pas garantir qu'il soit possible de résoudre des problèmes résultant d'une mauvaise utilisation de l'Éditeur du Registre. L'utilisation de l'Éditeur du Registre relève de votre responsabilité. Pour savoir comment modifier le Registre, consultez la rubrique d’Aide "Modifier des clés et des valeurs" dans l’Éditeur du Registre (Regedit.exe) ou les rubriques d’Aide "Ajouter et supprimer des informations dans le Registre" et "Modifier les données du Registre" dans Regedt32.exe.

Remarque : Nous vous conseillons de sauvegarder le Registre avant de le modifier.

•

Pour désactiver le kill bit d'un identificateur de classe CLSID de valeur {0002E510-0000-0000-C000-000000000046}, collez le texte suivant dans un éditeur de texte, tel que Bloc-notes. Puis, enregistrez ensuite le fichier avec l'extension .reg.

Windows Registry Editor Version 5.00

CLSID_OWC9_ DataSourceControl, {0002E533-0000-0000-C000-000000000046}
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E533-0000-0000-C000-000000000046}]

CLSID_OWC9_ DataSourceControl, {0002E530-0000-0000-C000-000000000046}
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{0002E530-0000-0000-C000-000000000046}]

•

Désinscription de la bibliothèque Office Web Components 2000

Avertissement : Si vous n'utilisez pas correctement le programme Éditeur du Registre, vous risquez de créer de sérieux problèmes et d'avoir à réinstaller votre système d'exploitation. Microsoft ne peut pas garantir qu'il soit possible de résoudre des problèmes résultant d'une mauvaise utilisation de l'Éditeur du Registre. L'utilisation de l'Éditeur du Registre relève de votre responsabilité. Pour savoir comment modifier le Registre, consultez la rubrique d’Aide "Modifier des clés et des valeurs" dans l’Éditeur du Registre (Regedit.exe) ou les rubriques d’Aide "Ajouter et supprimer des informations dans le Registre" et "Modifier les données du Registre" dans Regedt32.exe.

Remarque : Nous vous conseillons de sauvegarder le Registre avant de le modifier.

•	Pour Office 2000, tapez le texte suivant à l'invite de commande et sélectionnez Exécuter : Regsvr32.exe /u "C:\Program Files\Microsoft Office\Office\MSOWC.DLL"
•	Pour Office XP, tapez le texte suivant à l'invite de commande et sélectionnez Exécuter : Regsvr32.exe /u "C:\Program Files\Microsoft Office\Office\MSOWC.DLL"

Impact de cette solution de contournement : Les applications nécessitant les fonctionnalités Office Web Components ne fonctionneront pas.

Comment annuler la solution de contournement : Pour réinscrire Office Web Components 2000, suivez les étapes suivantes :

•	Pour Office 2000, tapez le texte suivant à l'invite de commande et sélectionnez Exécuter : Regsvr32.exe "C:\Program Files\Microsoft Office\Office\MSOWC.DLL"
•	Pour Office XP, tapez le texte suivant à l'invite de commande et sélectionnez Exécuter : Regsvr32.exe "C:\Program Files\Microsoft Office\Office\MSOWC.DLL"

Top of section

Forum aux questions concernant la vulnérabilité DataSource dans Office Web Components – CVE-2007-1201