Bulletin de sécurité Microsoft MS08-078 - Critique

Pour une attaque Web, l'attaquant devrait héberger un site Web qui contiendrait une page Web spécialement conçue pour exploiter cette vulnérabilité. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent des contenus ou des annonces provenant d'utilisateurs pourraient contenir un contenu malveillant susceptible d'exploiter cette vulnérabilité. Cependant, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Il devrait y attirer l'utilisateur, généralement en l'incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.

Tout attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Par défaut, le Mode protégé d'Internet Explorer 7 et d'Internet Explorer 8 Beta 2 dans Windows Vista et versions ultérieures permet de protéger les utilisateurs et leur système des téléchargements malveillants en restreignant le démarrage d'un autre programme ou l'enregistrement de fichiers sans le consentement de l'utilisateur. Cela comprend les fichiers et paramètres de l'utilisateur ou du système.

Définissez les paramètres des zones Intranet local et Internet sur la valeur « Élevé » afin d'afficher un message de confirmation avant d'exécuter les contrôles ActiveX et Active Scripting dans ces zones

Vous pouvez vous protéger contre cette vulnérabilité en modifiant les paramètres de la zone de sécurité Internet afin d’afficher un message de confirmation avant l’exécution des contrôles ActiveX et Active Scripting. Réglez la sécurité de votre navigateur sur la valeur Élevé.

Pour augmenter le niveau de sécurité de navigation dans Internet Explorer :

Remarque : Si aucun curseur n'est visible, cliquez sur Niveau par défaut, puis déplacez le curseur sur Élevé.

Remarque : La définition du niveau de sécurité sur Élevé risque de perturber le fonctionnement de certains sites Web. Si vous rencontrez des difficultés lors de la visite d’un site Web après avoir modifié ce paramètre et que vous êtes certain de la fiabilité de ce site, vous pouvez ajouter ce dernier à votre liste de sites de confiance. Cela permettra à ce site de s'afficher correctement même si le niveau de sécurité est défini sur Élevé.

Impact de cette solution de contournement : L’affichage d’un message de confirmation avant l’exécution des contrôles ActiveX et d'Active Scripting comporte des effets secondaires. De nombreux sites Web situés sur Internet ou sur un Intranet utilisent ActiveX ou Active Scripting pour offrir des fonctionnalités supplémentaires. Par exemple, un site de commerce électronique en ligne ou un site bancaire peuvent utiliser des contrôles ActiveX pour proposer des menus, des bons de commande ou même des relevés de compte. L’affichage d’un message de confirmation avant l’exécution d'Active Scripting ou de contrôles ActiveX est un paramètre global qui affecte tous les sites Internet et Intranet. De nombreux messages s’affichent lorsque vous mettez en œuvre cette solution de contournement. Pour chacun d’eux, si vous pensez que le site que vous visitez est un site de confiance, cliquez sur Oui afin d’exécuter les contrôles ActiveX ou Active Scripting. Si vous ne voulez pas recevoir d'invite pour tous ces sites, suivez les étapes décrites dans la section "Ajouter des sites de confiance à la zone Sites de confiance d'Internet Explorer".

Ajouter des sites de confiance à la zone Sites de confiance d'Internet Explorer

Après avoir configuré Internet Explorer de telle sorte que des messages de confirmation s’affichent avant l’exécution des contrôles ActiveX et d'Active Scripting dans les zones Internet et Intranet local, vous pouvez ajouter des sites de confiance dans la zone Sites de confiance d’Internet Explorer. Cette opération vous permettra de continuer à utiliser vos sites de confiance exactement comme vous le faites aujourd’hui, tout en vous protégeant contre cette attaque sur les autres sites. Nous vous recommandons d’ajouter uniquement des sites de confiance à la zone Sites de confiance.

Procédez comme suit :

Remarque : Ajoutez les sites dont vous savez qu’ils n'effectueront pas d’action malveillante sur votre système. Vous pouvez notamment ajouter les sites « *.windowsupdate.microsoft.com » et « *.update.microsoft.com ». Il s’agit des sites qui hébergent la mise à jour et ils requièrent un contrôle ActiveX pour leur installation.

Configurer Internet Explorer de manière à ce qu'il désactive Active Scripting ou à ce qu'il vous avertisse avant de l'exécuter dans la zone de sécurité Intranet local et Internet.

Vous pouvez vous protéger contre cette vulnérabilité en modifiant vos paramètres afin d’être averti avant l’exécution d’Active Scripting ou afin de désactiver Active Scripting dans les zones de sécurité Intranet local et Internet. Procédez comme suit :

Remarque : La désactivation d'Active Scripting dans les zones de sécurité Intranet local et Internet risque de perturber le fonctionnement de certains sites Web. Si vous rencontrez des difficultés lors de la visite d’un site Web après avoir modifié ce paramètre et que vous êtes certain de la fiabilité de ce site, vous pouvez ajouter ce dernier à votre liste de sites de confiance. Il pourra ainsi s'afficher correctement.

Impact de cette solution de contournement : L'affichage d’un message de confirmation avant l’exécution d'Active Scripting comporte des effets secondaires. De nombreux sites Web situés sur Internet ou sur un Intranet utilisent Active Scripting pour offrir des fonctionnalités supplémentaires. Par exemple, un site de commerce électronique en ligne ou un site bancaire peuvent utiliser Active Scripting pour proposer des menus, des bons de commande ou même des relevés de compte. L’affichage d’un message de confirmation avant l’exécution d'Active Scripting est un paramètre global qui affecte tous les sites Internet et Intranet. De nombreux messages s’affichent lorsque vous mettez en œuvre cette solution de contournement. Pour chacun d’eux, si vous pensez que le site que vous visitez est un site de confiance, cliquez sur Oui afin d’exécuter Active Scripting. Si vous ne voulez pas recevoir d'invite pour tous ces sites, suivez les étapes décrites dans la section "Ajouter des sites de confiance à la zone Sites de confiance d'Internet Explorer".

Ajouter des sites de confiance à la zone Sites de confiance d'Internet Explorer

Après avoir configuré Internet Explorer de telle sorte que des messages de confirmation s’affichent avant l’exécution des contrôles ActiveX et d'Active Scripting dans les zones Internet et Intranet local, vous pouvez ajouter des sites de confiance dans la zone Sites de confiance d’Internet Explorer. Cette opération vous permettra de continuer à utiliser vos sites de confiance exactement comme vous le faites aujourd’hui, tout en vous protégeant contre cette attaque sur les autres sites. Nous vous recommandons d’ajouter uniquement des sites de confiance à la zone Sites de confiance.

Procédez comme suit :

Remarque : Ajoutez les sites dont vous savez qu’ils n'effectueront pas d’action malveillante sur votre système. Vous pouvez notamment ajouter les sites « *.windowsupdate.microsoft.com » et « *.update.microsoft.com ». Il s’agit des sites qui hébergent la mise à jour et ils requièrent un contrôle ActiveX pour leur installation.

Désactiver la fonctionnalité d'îlot de données XML

Attention : Si vous n'utilisez pas correctement le programme Éditeur du registre, vous risquez de provoquer de sérieux problèmes et d'avoir à réinstaller votre système d'exploitation. Microsoft ne peut pas garantir qu'il soit possible de résoudre des problèmes résultant d'une mauvaise utilisation de l'Éditeur du Registre. L'utilisation de l'Éditeur du Registre relève de votre responsabilité.

Créez une copie de sauvegarde des clés de Registre en exécutant la commande suivante à partir d'une invite de commande sous privilèges élevés :

Regedit.exe /e Disable_XML_Island_backup.reg HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}

Remarque : Pour Windows Vista et Windows Server 2008, devenez le propriétaire de la clé [HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}] :

Ensuite, enregistrez ce qui suit dans un fichier portant l'extension .REG, tel que Disable_XML_Island.reg :

Windows Registry Editor Version 5.00
[-HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}]

Exécutez Disable_XML_Island.reg à l'aide de la commande suivante à partir d'une invite de commande sous privilèges élevés :

Regedit.exe /s Disable_XML_Island.reg

Impact de cette solution de contournement : Le code XML intégré dans du HTML peut ne pas s'afficher correctement.

Comment annuler la solution de contournement

Restaurez l'état original en exécutant la commande suivante à partir d'une invite de commande sous privilèges élevés :

Regedit.exe /s Disable_XML_Island_backup.reg

Comment annuler la solution de contournement décrite dans l'Avis de sécurité Microsoft 961051

L'Avis de sécurité Microsoft 961051 a présenté une méthode manuelle de modification de la Base de registre pour cette même solution de contournement. Si vous avez utilisé cette méthode et que vous souhaitez à présent annuler cette mise à jour, utilisez le fichier de registre suivant :

Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}]
@="MsxmlIsland"
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}\InProcServer32]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6d,00,73,00,\
78,00,6d,00,6c,00,33,00,2e,00,64,00,6c,00,6c,00,00,00
"ThreadingModel"="Apartment"
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}\TypeLib]
@="{D63E0CE2-A0A2-11D0-9C02-00C04FC99C8E}"

Restreindre l'utilisation d’Oledb32.dll dans Internet Explorer grâce aux niveaux d'intégrité

Cette solution de contournement s'applique uniquement à Windows Vista et versions ultérieures. Elle nécessite que le Contrôle de compte d'utilisateur (UAC) et le Mode protégé soient activés, ce qui est le paramétrage par défaut.

Enregistrez le texte suivant dans un répertoire temporaire :

Pour les systèmes 32 bits

Enregistrez un fichier appelé : « BlockAccess_x86.inf »

[Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"

Pour les systèmes 64 bits

Enregistrez un fichier appelé : « BlockAccess_x64.inf »

[Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"
"%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"

Exécutez la commande suivante depuis le répertoire temporaire en tant qu'administrateur :

SecEdit /configure /db BlockAccess.sdb /cfg <inf file>

Après l'exécution de la commande, vous devriez voir les messages suivants :

The task has completed successfully.
See log %windir%\security\logs\scesrv.log for detail info.

Valider la solution de contournement

Afin de valider l'application de cette solution de contournement, exécutez les commandes suivantes depuis une invite de commandes :

Pour les systèmes 32 bits

icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

Pour les systèmes 64 bits

icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"
icacls "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll"

Chaque fois que vous exécutez icacls, recherchez la ligne suivante.

Mandatory Label\Medium Mandatory Level:(NW,NR,NX)

Impact de cette solution de contournement : Toute application ADO/OLE DB s'exécutant dans Internet Explorer cessera de fonctionner. L'impact devrait être minimal étant donné que les processus d'exécutant dans les niveaux d'intégrité Moyen ou supérieurs devraient pouvoir charger la DLL et l'utiliser.

Comment annuler la solution de contournement

Enregistrez le texte suivant dans un répertoire temporaire :

Pour les systèmes 32 bits

Enregistrez un fichier appelé : « unBlockAccess_x86.inf »

[Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"

Pour les systèmes 64 bits

Enregistrez un fichier appelé : « unBlockAccess_x64.inf »

[Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"
"%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"

Exécutez la commande suivante depuis le répertoire temporaire en tant qu'administrateur :

SecEdit /configure /db UnblockAccess.sdb /cfg <inf file>

Après l'exécution de la commande, vous devriez voir les messages suivants :

The task has completed successfully.
See log %windir%\security\logs\scesrv.log for detail info.

Désactiver la fonctionnalité positionnement de ligne d’Oledb32.dll

Attention : Si vous n'utilisez pas correctement le programme Éditeur du registre, vous risquez de provoquer de sérieux problèmes et d'avoir à réinstaller votre système d'exploitation. Microsoft ne peut pas garantir qu'il soit possible de résoudre des problèmes résultant d'une mauvaise utilisation de l'Éditeur du Registre. L'utilisation de l'Éditeur du Registre relève de votre responsabilité.

Créez une copie de sauvegarde des clés de Registre en exécutant la commande suivante à partir d'une invite de commande sous privilèges élevés :

Regedit.exe /e Disable_Row_Position_backup.reg HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}

Remarque : Pour Windows Vista et Windows Server 2008, devenez le propriétaire de la clé [HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}] :

Enregistrez ensuite ce qui suit dans un fichier portant l'extension .REG, par exemple, Disable_Row_Position.reg :

Windows Registry Editor Version 5.00
[-HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}]

Exécutez Disable_Row_Position.reg à l'aide de la commande suivante à partir d'une invite de commande sous privilèges élevés :

Regedit.exe /s Disable_Row_Position.reg

Impact de cette solution de contournement : Toutes les applications ADO utilisant la propriété « RowPosition » et informations connexes ne fonctionneront plus. Toutes les applications OLE DB utilisant la bibliothèque de positionnement de ligne OLE BD ne fonctionneront plus.

Comment annuler la solution de contournement

Restaurez l'état original en exécutant la commande suivante à partir d'une invite de commande sous privilèges élevés :

Regedit.exe /s Disable_Row_Position_backup.reg

Désinscrire Oledb32.dll

Exécutez les commandes suivantes depuis une invite de commande en tant qu'administrateur :

Impact de cette solution de contournement : Les applications OLE DB et ADO ne fonctionneront plus. Ceci inclut les implémentations ASP/ADO, les services liés SQL Server, les applications .Net utilisant l'espace de noms System.Data.OLEDB et certaines fonctionnalités Office qui utilisent l'accès à des données externes.

Comment annuler la solution de contournement

Exécutez les commandes suivantes depuis une invite de commande en tant qu'administrateur :

Utiliser une liste de contrôle d'accès pour désactiver Oledb32.dll

Exécutez les commandes suivantes depuis une invite de commande en tant qu'administrateur :

Impact de cette solution de contournement : Les applications OLE DB et ADO ne fonctionneront plus. Ceci inclut les implémentations ASP/ADO, les services liés SQL Server, les applications .Net utilisant l'espace de noms System.Data.OLEDB et certaines fonctionnalités Office qui utilisent l'accès à des données externes.

Comment annuler la solution de contournement

Exécutez les commandes suivantes depuis une invite de commande en tant qu'administrateur :

Activer DEP pour Internet Explorer 7 sur Windows Vista et sur Windows Server 2008

Les Administrateurs locaux peuvent contrôler DEP/NX en exécutant Internet Explorer en tant qu'Administrateur (uniquement pour effectuer le paramétrage, ne pas naviguer sur des sites en tant qu'Administrateur). Pour activer DEP, exécutez les étapes suivantes :

Impact de cette solution de contournement : Certaines extensions de navigateur peuvent ne pas être compatibles avec DEP et peuvent se terminer de manière impromptue. Le cas échéant, vous pouvez désactiver le module complémentaire ou rétablir le paramétrage précédent de DEP en utilisant l'icône Internet du Panneau de configuration. Ceci est également disponible par l'intermédiaire de l'icône Système du Panneau de configuration

Désactiver l'association de données dans Internet Explorer 8 Beta 2

Exécutez les étapes suivantes :

Impact de cette solution de contournement : Cette solution de contournement désactive l'association de données pour toutes les zones de sécurité. Tout site Web qui utilise les associations de données ne s'affichera pas correctement.

Comment annuler la solution de contournement

Utilisez le fichier de registre suivant afin de supprimer la clé de contrôle sur cette fonctionnalité :

Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl\FEATURE_DATABINDING_SUPPORT]

Désactiver la fonctionnalité d'îlot de données XML

Restreindre l'utilisation d’Oledb32.dll dans Internet Explorer grâce aux niveaux d'intégrité

Désactiver la fonctionnalité positionnement de ligne d’Oledb32.dll

Désinscrire Oledb32.dll

Utiliser une liste de contrôle d'accès pour désactiver Oledb32.dll