## Description

Une vulnérabilité dans le logiciel multimédia Apple QuickTime permet à
une personne malintentionnée l'exécution de code arbitraire à distance
via un dépassement de mémoire tampon lors d'une tentative infructueuse
de lecture d'un fichier via le protocole Real Time Streaming Protocol
(RTSP).

Une fonctionnalité de QuickTime permet de basculer automatiquement du
protocole RTSP au protocole HTTP lorsque le port par défaut RTSP n'est
pas joignable (554/tcp et 554/udp). Une page d'erreur spécialement
conçue pour le protocole HTTP permet l'exploitation de cette
vulnérabilité. Des codes d'exploitation ont été diffusés sur l'Internet.

Cette vulnérabilité concerne les machines ayant une version QuickTime à
jour, et indépendemment du système d'exploitation installé.

## Contournement provisoire

Parmis les contournements provisoires, on note :

-   Vérifier que la prise en charge des liens RTSP est désactivée dans
    QuickTime en décochant la case Édition -\> Préférences -\>
    Préférences de QuickTime -\> Types de fichiers -\> Enchaînement -
    séquence en temps réel -\> Descripteur de flux RTSP ;

Cette option, qui n'est pas activée par défaut, ne comble en rien la
vulnérabilité mais permet de d'éviter l'ouverture de lien malveillant
par QuickTime.

-   vérifier la politique de filtrage des flux sortants. QuickTime
    essaie de se connecter au serveur sur différents ports (rtsp : 554
    puis HTTP : 80), mais la politique de filtrage peut influencer ce
    passage. Ainsi, si les flux sortants vers les ports 554/TCP et
    554/UDP sont filtrés et engendrent une absence de réponse dans un
    intervalle de temps suffisant, QuickTime n'effectue plus la
    tentative de connexion en HTTP.
-   utiliser un lecteur alternatif.

## Solution

Mise à jour du 07 février 2008 :

Apple a corrigé cette vulnérabilité dans la version 7.4.1 de QuickTime,
mentionnée dans l'avis CERTA-2008-AVI-059.

Avis du CERTA CERTA-2008-AVI-059 du 07 février 2008 :

Note de vulnérabilité de l'US-CERT VU#112179 du 10 janvier    2008 :

version initiale.

précisions concernant le filtrage.

correction apportée par Apple dans la version 7.4.1 de QuickTime.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité affectant Apple QuickTime permet à un individu
malveillant d'exécuter du code arbitraire à distance.

Vulnérabilité dans Apple QuickTime


Toutes les versions de Joomla! de  la branche 1.0 depuis la version 1.0.11.

## Description

Un mécanisme dans Joomla!, appelé RG_EMULATION, permet de contourner le
paramétrage de la variable register_globals dans le fichier de
configuration de PHP. Lorsque la variable RG_EMULATION est positionnée à
1 dans le fichier configuration.php (à la racine de Joomla!), il est
possible d'exécuter du code arbitraire à distance sur le serveur.

Dans les versions de Joomla! antérieures à 1.0.11, la variable
RG_EMULATION était définie dans le fichier globals.php. Une évolution de
Joomla! d'une version antérieure à 1.0.11 vers la version 1.0.11 ou
supérieure entraîne la suppression de la définition de la variable
RG_EMULATION. Lorsque la variable RG_EMULATION n'est pas du tout définie
dans le fichier configuration.php, celle-ci est positionnée par défaut à
1, ce qui permet l'exécution de code arbitraire à distance.

## Contournement provisoire

Il existe plusieurs contournements provisoires :

-   dans le fichier configuration.php, vérifier que la variable
    RG_EMULATION est positionnée à 0. Si elle n'est pas définie, ajouter
    la ligne :

    `$RG_EMULATION = '0';`

-   changer le comportement par défaut de Joomla! lorsque la variable
    RG_EMULATION n'est pas définie, en remplaçant 1 par 0 dans la ligne
    27 du fichier globals.php ;

-   migrer vers la branche 1.5 de Joomla! ou utiliser un autre
    gestionnaire de contenu.

## Solution

Mettre à jour en version 1.0.15.

Site de Joomla! :

version initiale.

ajout des sections Solution et Documentation.

Exécution de code arbitraire à distance

Contournement de la politique de sécurité

Summary:
Une vulnérabilité dans Joomla! permet
d'exécuter du code arbitraire à distance.

Vulnérabilité dans Joomla!

CERTA


Microsoft Office Excel dans les versions suivantes :

2000 ;

2002 ;

2003 SP2 ;

2004 pour Mac.

Microsoft Office Excel Viewer 2003.

## Description

Une vulnérabilité, non publique mais confirmée par l'éditeur, est
présente dans plusieurs versions du tableur Excel. L'exploitation de
cette vulnérabilité, au travers d'un document spécialement conçu, permet
l'exécution de code arbitraire. Le code est exécuté avec les droits de
l'utilisateur qui ouvre le document malveillant. L'utilisateur
malveillant doit inciter l'utilisateur du logiciel vulnérable à ouvrir
un document malveillant.

Cette vulnérabilité serait exploitée, à la date de rédaction de cette
alerte.

Les versions suivantes d'Excel ne seraient pas vulnérables :

-   2003 SP3 ;
-   2007 ;
-   2008 pour Mac.

Cette vulnérabilité est corrigée et mentionnée dans le bulletin
Microsoft MS08-014 publié le 11 mars 2008. Ce dernier est détaillé dans
l'avis CERTA-2008-AVI-125.

## Contournement provisoire

Dans l'attente d'un correctif, plusieurs mesures permettent de réduire
l'impact de l'exploitation de cette vulnérabilité :

-   utiliser une version non vulnérable ou un logiciel alternatif
    (visualisateur, tableur ou suite bureautique) ;
-   n'ouvrir que des documents de confiance ;
-   être circonspect à l'égard des pièces jointes de courriels et des
    documents téléchargés ;
-   travailler avec un compte aux droits restreints (principe du moindre
    privilège).

## Solution

Se référer au bulletin de sécurité MS08-014 de Microsoft pour
l'obtention des correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft 947563 du 15 janvier 2008 :

Avis CERTA-2008-AVI-125 du 12 mars 2008 :

version initiale.

ajout des références au bulletin MS08-14 et à l'avis correspondant.

Exécution de code arbitraire

Summary:
Une vulnérabilité dans plusieurs versions du tableur Excel permet une
exécution de code arbitraire.

Vulnérabilité dans Excel

Bulletin Microsoft 947563 du 15 janvier 2008


VMware Workstation versions 6.0.2 et antérieures ;

VMware Player versions 1.0.4 et antérieures ;

VMware Player versions 2.0.2 et antérieures ;

VMware Workstation versions 5.5.4 et antérieures ;

VMware ACE versions 2.0.2 et antérieures ;

VMware ACE versions 1.0.2 et antérieures.

## Description

La fonctionnalité de répertoires partagés (shared folders) dans VMware
permet l'échange de fichiers entre une machine virtuelle et l'hôte.

Une vulnérabilité dans l'étanchéité de cette fonctionnalité permet à une
personne malveillante de contourner la politique de sécurité.
L'exploitation de cette vulnérabilité permet de créer et de modifier des
fichiers dans l'arborescence de l'hôte.

## Contournement provisoire

L'éditeur recommande de désactiver la fonctionnalité répertoires
partagés (shared folders) dans l'attente d'un correctif.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité VMware VMSA-2008-0005 du 17 mars 2008    :

Avis de sécurité CERTA-2008-AVI-141 :

version initiale.

Ajout de la référence au bulletin de sécurité de léditeur et à l'avis CERTA associé.

Summary:
Une vulnérabilité dans VMware installé sur Windows permet de contourner
la politique de sécurité.

Vulnérabilité dans VMware

Bulletin d'alerte VMware 1004034


Les versions suivantes de Microsoft Word sont affectées :

Word 2000 Service Pack 3 ;

Word 2002 Service Pack 3 ;

Word 2003 Service Pack 2 ;

Word 2003 Service Pack 3 ;

Word 2007 ;

Word 2007 Service Pack 1.

Seuls les systèmes d'exploitation Microsoft Windows 2000  Service Pack 4, Windows XP Service Pack 2, et Windows Server 2003  Service Pack 1 sont concernés. Les versions de Microsoft Jet Database Engine affectées sont  antérieures à 4.0.9505.0 (<TT>Msjet40.dll</TT>).

## Description

Une vulnérabilité de type débordement de mémoire affecte Microsoft Jet
Database Engine. Elle permet à une personne malintentionnée d'exécuter
du code arbitraire à distance avec les droits de l'utilisateur. Cette
faille semble être ancienne, toutefois elle n'a pas été corrigée par
Microsoft car l'éditeur ne considère pas le format mdb (Microsoft
Access) comme un format sûr (comme les fichiers exe, bat, cmd par
exemple). Ainsi, ce type de fichier est par exemple automatiquement
bloqué dans Microsoft Outlook (voir KB#925330).

Cependant, il a récemment été montré que la vulnérabilité de Msjet40.dll
dont fait l'objet cet avis peut toutefois être exploitée via l'ouverture
d'un fichier au format doc, qui appelle à son tour un fichier mdb
spécifiquement construit.

Plusieurs cas d'exploitations ont d'ores et déjà été signalés à
Microsoft.

Mise à jour du 14 mai 2008 :

Cette vulnérabilité est corrigée et mentionnée dans le bulletin
Microsoft MS08-044 publié le 13 mai 2008. Ce dernier est détaillé dans
l'avis CERTA-2008-AVI-244.

## Contournement provisoire

Dans l'attente d'un correctif, plusieurs mesures permettent de réduire
l'impact de l'exploitation de cette vulnérabilité :

-   utiliser un compte aux droits restreints ;
-   utiliser un logiciel de traitement de texte alternatif ;
-   n'ouvrir que des documents de confiance ;
-   être circonspect à l'égard des pièces jointes de courriels.

Il est également possible de désactiver le Microsoft Jet Database Engine
en exécutant la commande suivante :

`echo y| cacls "%SystemRoot%\system32\msjet40.dll" /E /P  everyone:N`

Ceci a pour effet de restreindre l'accès au fichier msjet40.dll à tous
les utilisateurs. Les applications faisant appel à Microsoft Jet
Database Engine risquent de ne plus fonctionner.

Pour restaurer un accès normal à ce fichier, exécuter :

`echo y| cacls "%SystemRoot%\system32\msjet40.dll" /E /R  everyone`

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité de l'US-CERT VU#936529

Document du CERTA CERTA-2008-AVI-244 du 14 mai 2008 :

Bulletin de sécurité Microsoft MS08-028 du 13 mai 2008 :

Référence CVE CVE-2008-1092 :

Article décrivant les fichiers non sûrs :

Entrée du 24 mars 2008 dans le bloc-notes du MSRC :

version initiale.

correction d'un lien, ajout d'un contournement provisoire et de la référence au bulletin de l'US CERT.

publication du correctif par l'éditeur.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Microsoft Jet
Database Engine permet à une personne malintentionnée d'exécuter du code
arbitraire à distance.

Vulnérabilité dans Microsoft Jet Database Engine

Bulletin de sécurité Microsoft #950627 du 21 mars 2008


HP OpenView Network Node Manager,  version 7.x.
D'autres versions peuvent être affectées.

## Description

Plusieurs vulnérabilités sont présentes dans HP OpenView Network Node
Manager :

-   une vulnérabilité (CVE-2008-0068) provient d'un filtrage insuffisant
    d'un paramètre de CGI. Son exploitation permet à un utilisateur
    malveillant de contourner la politique de sécurité ;
-   une vulnérabilité (CVE-2008-1697) concerne l'utilisation d'un
    paramètre de longueur élevée dans une requête HTTP. Cette
    exploitation permet à un utilisateur malveillant d'exécuter du code
    arbitraire à distance ;
-   une vulnérabilité (CVE-2008-1842) est présente dans le traitement de
    certaines requêtes vers le port TCP 8886. Son exploitation permet à
    un utilisateur malveillant de provoquer un déni de service à
    distance ou d'exécuter du code arbitraire à distance ;
-   une vulnérabilité (CVE-2008-1851) provient de l'attente sans limite
    de temps lorsqu'une requête, adressée au port TCP 2954, est
    incomplète. Cette vulnérabilité peut servir à réaliser un déni de
    service ;
-   une vulnérabilité (CVE-2008-1852) provient d'un problème
    d'allocation mémoire, provoqué par la déclaration d'un nombre trop
    important de paramètres dans une requête adressée au port TCP 2954.
    L'exploitation de la vulnérabilité provoque une arrêt inopiné du
    programme ;
-   une vulnérabilité (CVE-2008-1853) permet l'arrêt du service par
    l'envoi d'un paquet d'une certaine forme sur le port TCP 2532.
    L'utilisateur malveillant peut provoquer un déni de service à
    distance.

Des codes exploitant ces vulnérabilités sont disponibles sur l'Internet.

## Contournement provisoire

Dans l'attente d'un correctif, des mesures permettent de limiter la
capacité d'exploitation de ces vulnérabilités ou de détecter une telle
exploitation :

-   n'autoriser l'accès au serveur qu'aux utilisateurs en ayant besoin ;
-   filtrer les accès depuis les réseaux vers le serveur HP OpenView
    Network Node Manager;
-   bloquer les flux depuis l'Internet vers le serveur sur les ports TCP
    80, 2532, 2954 et 8886 ou vérifier que ce blocage est effectif s'il
    est déjà prévu dans la politique de sécurité ;
-   surveiller attentivement les journaux des filtres et des serveurs,
    en particulier l'activité liée à ces ports et l'activité depuis le
    serveur HP OpenView Network Node Manager.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité HP c01496048 du 11 mai 2009 :

Bulletin de sécurité HP c01471755 du 10 juin 2008 :

Bulletin de sécurité HP c01495949 du 11 mai 2009 :

Site de téléchargement desz correctifs HP :

version initiale.

ajout des correctifs et des bulletins HP.

Exécution de code arbitraire à distance

Déni de service à distance

Summary:
Plusieurs vulnérabilités dans HP OpenView Network Node Manager
permettent à un utilisateur malveillant de provoquer un déni de service
à distance, d'exécuter du code arbitraire à distance ou de contourner la
politique de sécurité. Les vulnérabilités ont été corrigées en 2008 et
2009.

Vulnérabilités dans HP OpenView NNM

CVE-2008-0068, 1697, 1842, 1851, 1852 et 1853


Apple iCal 3.01, 3.02 sur MacOSX 10.5 à 10.5.2 (x86 et  PowerPC).

D'autres versions pourraient être vulnérables.

## Description

iCal est une application de calendrier disponible par défaut sur MacOSX.
Ce logiciel utilise notamment des fichiers portant l'extension .ics et
un protocole nommé CalDAV pour le partage d'événements.

Trois vulnérabilités concernant iCal ont récemment été publiées. Deux de
ces vulnérabilités sont dues à une mauvaise validation de certains
entiers. Une personne malintentionnée peut ainsi réaliser un déni de
service en incitant un utilisateur à importer un fichier .ics
spécialement conçu (CVE-2008-2006) et à effectuer certaines actions
spécifiques (double-click sur un événement, par exemple).

La troisième vulnérabilité est également due à une mauvaise validation
du format d'un fichier .ics et permettrait à une personne
malintentionnée d'exécuter du code arbitraire en incitant un utilisateur
à importer un fichier .ics spécialement conçu et à effectuer certaines
actions (CVE-2008-2007).

Pour information, les fichiers .ics peuvent être importés
automatiquement depuis des serveurs CalDAV.

Des preuves de faisabilité ont été diffusées sur l'internet.

Apple a corrigé ces vulnérabilités dans sa mise à jour de sécurité
2008-003 publiée le 28 mai 2008 et détaillée dans l'avis
CERTA-2008-AVI-278.

## Contournement provisoire

Le CERTA préconise les recommandations suivantes :

-   n'importer que des fichiers .ics provenant de personnes de confiance
    ;
-   ne s'inscrire que sur des serveurs CalDAV de confiance ;
-   entrer les événements manuellement ;
-   dans l'attente d'un correctif, utiliser une application de
    calendrier alternative.

## Solution

Le CERTA recommande d'appliquer les correctifs 2008-003 d'Apple publiés
le 28 mai 2008 et détaillés dans l'avis CERTA-2008-AVI-278.

Bulletin du NIST CVE-2008-2007 du 22 mai 2008 :

Avis CERTA-2008-AVI-278 du 28 mai 2008 :

Bulletin du NIST CVE-2008-2006 du 22 mai 2008 :

version initiale.

ajout de la référence aux correctifs publiés par Apple et décrits dans CERTA-2008-AVI-278.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Trois vulnérabilités sur Apple iCal
permettent à une personne malintentionnée distante de réaliser un déni
de service ou potentiellement exécuter du code arbitraire.

Multiples vulnérabilités dans Apple iCal

Bulletin de sécurité Core Security CORE-2008-0126


Safari pour Windows version 3.1.1 et versions antérieures ;

Safari pour MacOS version 3.1.1 et versions antérieures.

## Description

Une vulnérabilité a été découverte dans la navigateur Safari d'Apple.
Cette vulnérabilité permet via un site spécialement construit de forcer
le téléchargement d'un fichier quelconque sur l'ordinateur de la
victime. Ce fichier est téléchargé directement dans le répertoire de
téléchargement défini dans les propriétés du navigateur (le Bureau par
défaut).

Comme indiqué dans le bulletin d'actualité CERTA-2008-ACT-023, cette
vulnérabilité peut également permettre l'exécution de code arbitraire
sous Microsoft Windows. En effet, une « fonctionnalité » de Internet
Explorer est de charger sous certaines conditions des bibliothèques de
fonctions (DLL) depuis le bureau. Le téléchargement d'un tel fichier
sous Safari suivi de l'exécution de Internet Explorer permet ainsi à une
personne malveillante d'exécuter du code arbitraire à distance.

## Contournement provisoire

Il est préférable généralement de modifier la configuration par défaut
des navigateurs, y compris pour Safari :

-   changer le répertoire de téléchargement (le Bureau par défaut);
-   décocher l'option Ouvrir automatiquement les fichiers fiables dans
    les préférences générales ;
-   décocher préventivement l'activation de modules externes, ainsi que
    l'interprétation de Java et de Javascript.

Une autre pratique consiste à filter via un serveur mandataire les
champs « Content-Type » et les restreindre à ceux jugés légitimes.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin d'actualité CERTA-2008-ACT-023 :

Bulletin de sécurité Microsoft 953818 du 30 mai 2008 :

Bloc-notes de Microsoft du 30 mai 2008 :

Publication préliminaire sur un bloc-notes Technet    Microsoft de R. Hensing le 22 mai 2008 :

Avis du CERTA CERTA-2008-AVI-331 :

version initiale ;

ajout du risque lié à l'utilisation de Internet Explorer couplé à Safari.

correction de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans la navigateur Safari. Cette
vulnérabilité permet un contournement de la politique de sécurité et
l'exécution de code arbitraire à distance sous Windows.

Vulnérabilité du navigateur Safari

Bulletin de sécurité Apple HT2092 du 19 juin 2008

Bulletin de sécurité Secunia SA30467 du 02 juin 2008


Microsoft Office Access 2003.

Microsoft Office Access XP ;

Microsoft Office Access 2000 ;

Snapshot Viewer for Microsoft Access ;

## Description

Une vulnérabilité a été identifiée dans le contrôle ActiveX snapview.ocx
de Snapshot Viewer for Microsoft Access. Celle-ci peut être exploitée
par une personne malintentionnée qui peut ainsi télécharger des fichiers
dans des répertoires arbitraires d'une machine vulnérable, en incitant
la victime à visiter une page web spécialement conçue.

Le contrôle ActiveX est signé par Microsoft et installé par défaut avec
les versions 2000, XP, et 2003 de Microsoft Office Access.

La vulnérabilité est actuellement exploitée.

## Contournement provisoire

Le contrôle ActiveX vulnérable peut être désactivé dans la base de
registre :

Exécuter regedit.exe, puis accéder à la clé suivante :
`HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet  Explorer\ActiveX Compatibility\`
`{F0E42D50-368C-11D0-AD81-00A0C90DC8D9}` et mettre la valeur «
Compatibility Flags » à 00000400.

Faire de même pour les CLSID suivants :
`{F0E42D60-368C-11D0-AD81-00A0C90DC8D9}`
`{F2175210-368C-11D0-AD81-00A0C90DC8D9}`

Le CERTA recommande également les actions suivantes :

-   utiliser un navigateur alternatif tel que Mozilla Firefox, Opera,
    Safari, Kmeleon, etc.;
-   mettre à jour vers Internet Explorer 7, cocher le choix « Demander »
    dans l'option « Exécuter les contrôles ActiveX et les plugins », ou
    désactiver l'exécution des contrôles ActiveX ;
-   naviguer en utilisant un compte d'utilisateur aux droits limités ;
-   naviguer sur des sites de confiance.

## Solution

Se référer au bulletin de sécurité MS08-041 de Microsoft pour
l'obtention des correctifs (cf. section Documentation). Ce dernier est
présenté dans l'avis CERTA-2008-AVI-413.

Note de vulnérabilité de l'US-CERT VU#837785 du 07 juillet    2008 :

Avis du CERTA CERTA-2008-AVI-413 du 13 août 2008 :

Bulletin de sécurité Microsoft 955179 du 07 juillet 2008 :

version initiale.

publication du correctif par Microsoft.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans le contrôle ActiveX
du Snapshot Viewer for Microsoft Access
permet à une personne malintentionnée d'exécuter du code arbitraire à
distance.

Vulnérabilité dans Microsoft Access Snapshot Viewer

Bulletin Microsoft 955179 du 07 juillet 2008


Microsoft Office Word 2002 Service Pack 3.

## Description

Une vulnérabilité a été identifiée dans Microsoft Word 2002. Une
personne malintentionnée peut exécuter du code arbitraire à distance en
incitant une victime à ouvrir un document Word spécialement conçu.

Selon Microsoft, la vulnérabilité est actuellement exploitée.

## Contournement provisoire

Les mesures suivantes sont recommandées :

-   utiliser une version plus récente de Microsoft Word ;
-   utiliser Word Viewer 2003 SP3 pour visionner et imprimer des
    fichiers Word ;
-   utiliser un logiciel alternatif tel que OpenOffice.org ;
-   n'ouvrir que des documents provenant de sources de confiance ;
-   utiliser un compte aux droits restreints.

## Solution

Se référer au bulletin de sécurité MS08-042 de Microsoft pour
l'obtention des correctifs (cf. section Documentation).

Ce dernier est détaillé dans l'avis CERTA-2008-AVI-403.

Avis du CERTA CERTA-2008-AVI-403 du 13 août 2008 :

version initiale.

publication du correctif par Microsoft.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Microsoft Word 2002 permet à une personne
malintentionnée d'exécuter du code arbitraire à distance.

Vulnérabilité dans Microsoft Word

Bulletin de sécurité Microsoft 953635 du 08 juillet 2008


Oracle BEA  WebLogic Server, versions 5.x à 10.x.

## Description

Une vulnérabilité existe dans le connecteur Apache du serveur Oracle BEA
WebLogic Server. Certaines requêtes excessivement longues, de type POST,
peuvent provoquer un débordement de pile. Ce débordement est exploitable
pour réaliser un déni de service à distance et, dans certaines
conditions, exécuter des commandes sur le serveur vulnérable.

Une preuve de faisabilité est disponible sur l'Internet.

Oracle a publié un correctif le 08 août 2008, détaillé dans l'avis du
CERTA CERTA-2008-AVI-394.

## Contournement provisoire

Dans l'attente d'un correctif de l'éditeur, le CERTA recommande :

-   de restreindre à l'indispensable l'accès au serveur ;
-   de filtrer en amont les requêtes POST en les limitant à une longueur
    compatible avec l'utilisation du serveur ;
-   de journaliser et de surveiller les requêtes adressées au serveur.

## Solution

Oracle a publié un correctif le 08 août 2008, détaillé dans l'avis du
CERTA CERTA-2008-AVI-394.

AVis du CERTA CERTA-2008-AVI-394 du 08 août 2008 :

Bulletin de sécurité Oracle du 28 juillet 2008 :

version initiale.

ajout de la référence Oracle et du CVE.

publication du correctif.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité de Oracle BEA WebLogic
Server permet à un utilisateur malveillant de réaliser un déni de
service à distance et d'exécuter du code arbitraire à distance.

Vulnérabilité dans Oracle BEA WebLogic Server

Alerte de Secunia numéro 31146 du 21 juillet 2008


Microsoft Windows Server 2008 32-bit, x64 et système Itanium.

Microsoft Windows Server 2003 x64 Edition et x64 Edition Service Pack 2 ;

Microsoft Windows Vista x64 Edition et Service Pack 1 ;

Microsoft Windows Vista et Service Pack 1 ;

Microsoft Windows XP Service Pack 2 et Service Pack 3 ;

Microsoft Windows Server 2003 Service Pack 1 et Service Pack 2 ;

Microsoft Windows Server 2003 Service Pack 1 et Service Pack 2 pour système Itanium ;

## Description

Une vulnérabilité dans Microsoft Windows permet à un utilisateur
malveillant, authentifié sur le système avec le compte NetworkService ou
LocalService, d'élever ses privilèges au moyen d'un code exécutable
malveillant.

Le service Internet Information Services (IIS) ou encore SQL Server
permettent à un utilisateur d'accéder au système avec les comptes lui
permettant d'exploiter la vulnérabilité décrite. Cependant, Microsoft
annonce que tout service bénéficiant des privilèges
SeImpersonatePrivilege peut être vulnérable et être utilisé par un
individu malintentionné pour élever ses privilèges sur le système.

Cette vulnérabilité implique que l'utilisateur malveillant puisse
télécharger et exécuter sur le serveur vulnérable un fichier exécutable
malveillant.

Le savoir-faire nécessaire pour exploiter cette vulnérabilité est
disponible sur l'Internet et peut être modifié par un utilisateur
malveillant afin d'élever ses privilèges au travers d'autres services
qu'Internet Information Services ou SQL Server.

## Contournement provisoire

Microsoft propose trois contournements provisoires pour le service
Internet Information Service version 6.0 et 7.0 à l'adresse suivante :

    http://www.microsoft.com/technet/security/advisory/951306.mspx

Le CERTA recommande les actions suivantes :

-   interdire l'exécution de programme tiers par les services
    vulnérables accessibles depuis une zone non-sûre ;
-   interdire le téléchargement de fichiers distants sur le serveur ;
-   vérifier le contenu des fichiers téléchargés sur le serveur ;
-   autoriser l'accès au serveur uniquement aux utilisateurs de
    confiance.

## Solution

Se référer au bulletin de sécurité MS09-012 de Microsoft pour
l'obtention des correctifs (cf. section Documentation). Ce dernier est
présenté dans l'avis CERTA-2009-AVI-142 du 15 avril 2009.

Avis du CERTA CERTA-2009-AVI-142 du 15 avril 2009 :

Bloc-note de Microsoft Security Response Center du 09    octobre 2008 :

Bulletin de sécurité Microsoft MS09-012 du 14 avril 2009 :

Bulletin de sécurité Microsoft #951306 du 17 avril 2008 :

Référence CVE CVE-2008-1436 :

version initiale.

ajout des références au bulletin de sécurité Microsoft MS09-012.

Élévation de privilèges

Summary:
Une vulnérabilité dans Microsoft Windows permet à un utilisateur
malintentionné d'élever ses privilèges à ceux de LocalSystem.

Vulnérabilité dans Microsoft Windows


Sun Solaris 9 pour architecture x86.

Sun Solaris 9 pour architecture SPARC ;

Sun Solaris 8 pour architecture SPARC ;

Sun Solaris 8 pour architecture x86 ;

## Description

Le service sadmind sur Sun Solaris permet l'administration de systèmes à
distance via la suite d'outils Solstice AdminSuite.

Ce service est activé par défaut sous Solaris et est mis en œuvre par le
biais du « super-service » inetd fonctionnant avec les privilèges de
l'administrateur root.

Une erreur de type débordement de mémoire présente dans sadmind permet à
un utilisateur malintentionné distant d'exécuter du code arbitraire sur
le système vulnérable.

## Contournement provisoire

Dans la mesure où l'exécution du service sadmind est contrôlée par le «
super-service » inetd, il est possible de le désactiver en mettant en
commentaire la ligne suivante dans le fichier /etc/inetd.conf :

100232 tli rpc/udp wait root /usr/sbin/sadmind.

Une fois cette ligne commentée, il faudra également demander au service
inetd de relire sa configuration en tapant la commande :

pkill -HUP inetd

Si, toutefois, ce service devait être utilisé et ne pouvait être
désactivé, il conviendrait d'en limiter l'accès aux seules machines de
confiance nécessaires à l'administration.

## Solution

Correctifs adressant cette vulnérabilité :

-   Sun Solaris 8 avec le correctif 116455-02 pour SPARC
-   Sun Solaris 9 avec le correctif 116453-03 pour SPARC
-   Sun Solaris 8 avec le correctif 116442-02 pour x86
-   Sun Solaris 9 avec le correctif 116454-03 pour x86

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Annonce Bugtraq BUGTRAQ:20081014 [RISE-2008001] du 14    octobre 2008 :

Alerte de sécurité Oracle Sun 245806 du 21 mai 2009 :

version initiale.

ajout correctif et fermeture alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans le service sadmind de
Sun Solaris permet à un utilisateur distant d'exécuter du code
arbitraire.

Vulnérabilité du service sadmind de Sun Solaris


Opera version 9.62 pour Windows.

## Description

Une vulnérabilité présente dans la gestion des références à des adresses
(URI) de type « file:// », particulièrement longues, permet à un
utilisateur malveillant d'exécuter du code arbitraire, à la suite d'un
débordement de mémoire, par le biais d'un fichier au format HTML
spécialement construit.

L'exploitation de cette vulnérabilité nécessite que le fichier
malveillant au format HTML soit présent localement sur la machine. Le
savoir faire nécessaire à l'exploitation de cette vulnérabilité circule
sur l'Internet.

## Contournement provisoire

Dans l'attente d'un correctif de la part de l'éditeur, plusieurs
alternatives existent :

-   restreindre l'ouverture de fichier locaux uniquement à ceux de
    confiance ;
-   utiliser un navigateur alternatif, notament pour l'ouverture de
    fichiers locaux ;
-   changer de navigateur pour l'ouverture par défaut de fichiers au
    format HTML.

## Solution

Se référer au changement de version 9.63 d'Opera pour l'obtention des
correctifs (cf. section Documentation).

Article 924 de la base de connaissance pour Opera :

Article 923 de la base de connaissance pour Opera :

Article 920 de la base de connaissance pour Opera :

Notes de changement de version 9.63 d'Opera pour    Windows :

Article 921 de la base de connaissance pour Opera :

Article 922 de la base de connaissance pour Opera :

version initiale.

ajout de la référence à la version 9.63 d'Opera.

Exécution de code arbitraire

Summary:
Une vulnérabilité présente dans Opera permet
à une personne malveillante d'exécuter du code arbitaire.

Vulnérabilité dans Opera

Bulletin de sécurité Secunia 32752 du 18 novembre 2008


WordPad Text Converter sur Windows XP Service Pack 2 ;

WordPad Text Converter sur Windows 2003 Service Pack 2.

WordPad Text Converter sur Windows 2003 Service Pack 1 ;

WordPad Text Converter sur Windows 2000 Service Pack 4 ;

## Description

Une vulnérabilité dans WordPad Text Converter permet à une personne
malintentionnée distante d'exécuter du code arbitraire en incitant une
personne à ouvrir un fichier Word 97 spécialement conçu. L'utilisation
de WordPad peut être forcée même si Microsoft Office Word est installé,
au moyen, par exemple, d'un fichier d'extension .wri.

L'éditeur affirme que cette vulnérabilité est actuellement exploitée.

Cette vulnérabilité n'affecte pas les utilisateurs de Windows XP Service
Pack 3, Windows Vista, et Windows 2008.

## Contournement provisoire

Les utilisateurs de Windows XP Service Pack 2 doivent mettre à jour leur
système en Service Pack 3.

Il est possible de désactiver le convertisseur de texte de WordPad avec
la commande suivante en ligne de commande :

    echo y| cacls "%ProgramFiles%\Windows NT\Accessories\mswrd8.wpc" /E /P everyone:N

Pour réactiver le convertisseur de texte, changer le propriétaire du
fichier mswrd8.wpc à « Administrateurs » (cf. bulletin de sécurité
Microsoft) et taper la commande suivante :

    echo y| cacls "%ProgramFiles%\Windows NT\Accessories\mswrd8.wpc" /E /R everyone

Les administrateurs peuvent également filtrer les fichiers de type .wri
pour empêcher l'utilisation automatique de WordPad.

Enfin, le CERTA rappelle quelques bonnes pratiques :

-   utiliser un compte utilisateur aux droits restreints ;
-   n'ouvrir que des documents provenant de sources de confiance ;

## Solution

Se référer au bulletin de sécurité MS09-010 de Microsoft pour
l'obtention des correctifs (cf. section Documentation). Le CERTA a
publié l'avis CERTA-2009-AVI-140 à ce sujet.

Avis du CERTA CERTA-2009-AVI-140 du 15 avril 2009 :

Bulletin de sécurité Microsoft MS09-010 du 14 avril 2009 :

Bulletin de sécurité Microsoft 960906 du 09 décembre 2008 :

version initiale.

ajout des références au bulletin de sécurité Microsoft MS09-010.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans WordPad Text
Converter permet à une personne malintentionnée d'exécuter du
code arbitraire à distance.

Vulnérabilité dans le convertisseur de texte de WordPad

Bulletin de sécurité Microsoft #960906 du 09 décembre 2008


Microsoft Internet Explorer 5.01 Service Pack 4 ;

Microsoft Internet Explorer 7.

Microsoft Internet Explorer 6 Service Pack 1 ;

Microsoft Internet Explorer 6 ;

## Description

Une vulnérabilité de type corruption de mémoire a été identifiée dans
une fonction de la bibliothèque mshtml.dll utilisée par Microsoft
Internet Explorer. La faille permet à une personne malintentionnée
d'exécuter du code arbitraire sur le poste vulnérable d'un utilisateur
en l'incitant à visiter une page Web spécialement conçue.

Du code d'exploitation est disponible sur l'Internet.

## Contournement provisoire

Le CERTA recommande les mesures suivantes :

-   désactiver le Javascript par défaut et ne le réactiver qu'au cas par
    cas sur des sites de confiance ;
-   utiliser un navigateur alternatif.

Le CERTA rappelle également qu'il est fortement conseillé de naviguer
avec un compte utilisateur aux droits restreints.

D'autres contournements ont été émis par l'éditeur, notamment :

-   la désactivation de la fonctionnalité XML Island ;
-   la désinscription de OLEDB32.DLL ;
-   la modification des ACL (Access Control List) de OLEDB32.DLL ;
-   la modification des ACL d'intégrité de OLEDB32.DLL (sur Windows
    Vista) ;
-   la désactivation de la fonctionnalité Row Position de OLEDB32.DLL.

Certains contournements ont plus d'effets de bord que d'autres
(notamment, la désinscription ou la modification des ACL de
OLEDB32.DLL). Se référer au bulletin de sécurité de Microsoft pour plus
de détails.

Enfin, l'activation du DEP (Data Execution Prevention) peut rendre
l'exploitation plus difficile.

## Solution

Microsoft a émis une mise à jour hors du cycle mensuel pour corriger
cette vulnérabilité. Se référer à l'avis CERTA-2008-AVI-604 pour
l'obtention des correctifs.

Avis CERTA-2008-AVI-604 :

Bulletin de sécurité Microsoft 961051 du 10 décembre 2008 :

version initiale.

mise à jour du contournement et ajout de références.

mise à jour des produits affectés et du contournement provisoire.

mise à jour du contournement provisoire.

ajout de la section solution.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Microsoft Internet
Explorer permet à une personne malintentionnée d'exécuter du code
arbitraire à distance.

Vulnérabilité dans Microsoft Internet Explorer


Microsoft SQL Server 2000 ;

Microsoft SQL Server 2005 ;

Microsoft SQL Server 2005 Express Edition ;

Microsoft SQL Server 2000 Desktop Engine (MSDE 2000 et    WMSDE) ;

Windows Internal Database (WYukon).

Les systèmes Microsoft SQL Server 7.0 SP 4, Microsoft SQL  Server 2005 SP3 et Microsoft SQL Server 2008 ne seraient pas  affectés.

## Description

Une vulnérabilité de type débordement de mémoire dans la procédure
stockée étendue sp_replwritetovarbin() de Microsoft SQL Server permet à
une personne malintentionnée d'exécuter du code arbitraire.

Associée à une vulnérabilité de type injection de code SQL, cette
vulnérabilité permet une exécution de code à distance.

## Contournement provisoire

Il est recommandé de supprimer la procédure stockée étendue vulnérable
ou d'en changer les droits d'exécution (cf. section Documentation).

Ceci peut entrainer des dysfonctionnements dans d'autres applications.

Les bonnes pratiques en matière de développement Web, notamment pour se
protéger des injections SQL peuvent limiter les possibilités
d'exploitation de cette vulnérabilité.

## Solution

Se référer au bulletin de sécurité Microsoft MS09-004 pour l'obtention
des correctifs (cf. section Documentation).

Avis de sécurité Microsoft 961040 du 22 décembre    2008 :

Bulletin de sécurité Microsoft MS09-004 du 10 février 2009    :

Avis CERTA-2009-AVI-061 :

Désactivation de procédures stockées étendues :

Bloc-notes SVRD, "More information about the SQL stored    procedure vulnerability", 22 décembre 2008 :

Référence CVE CVE-5416:

Bloc-notes MSRC, "Microsoft Security Advisory 961040" du 22    décembre 2008 :

version initiale.

ajout de la référence CVE, des liens Microsoft et mise à jour des versions vulnérables.

ajout de la section solution et modification du CVE

Exécution de code arbitraire

Summary:
Une vulnérabilité dans Microsoft SQL Server
permet à une personne malintentionnée d'exécuter du code arbitraire.

Vulnérabilité dans Microsoft SQL Server


Adobe Acrobat Standard, Pro et Pro Extended, versions 9.x, 8.x et 7.x.

Adobe Reader versions 9.x, 8.x et 7.x ;

## Description

Une erreur dans les produits Adobe relative à l'interprétation des
objets encodés au format JBIG2 dans des fichiers PDF permet à un
utilisateur de provoquer inopinément l'arrêt du logiciel (crash).

Elle permet également l'exécution de code arbitraire sur le système
vulnérable avec les droits de l'utilisateur.

L'exploitation de la vulnérabilité ne nécessite pas nécessairement :

-   l'intervention de l'utilisateur ;
-   l'activation ou la désactivation du support Adobe JavaScript.

Certains codes d'exploitation circulant actuellement sur l'Internet sont
reconnus par des antivirus sous divers noms : Trojan.Pidief.E,
Bloodhound.PDF-6 (Symantec), Exploit-PDF.i (NAI, Mac Afee)...

L'application Adobe installe une extension permettant à l'explorateur de
fichiers de Microsoft Windows de réaliser un aperçu des fichiers au
format PDF. De ce fait, la vulnérabilité peut également être exploitée
par les méthodes suivantes :

-   lors de la sélection d'un fichier PDF exploitant cette vulnérabilité
    ;
-   lors de l'exploration d'un répertoire avec un affichage en mode
    miniature des icônes.

De plus, il semblerait que cette vulnérabilité puisse être exploitée
lors de l'affichage de l'infobulle lié à un fichier PDF malveillant dont
les méta-données ont été spécialement construites.

Enfin, l'utilisation de services d'indexation automatique (comme WIS,
Windows Indexing Services) pourrait déclencher l'exploitation de la
vulnérabilité sur un fichier présent sur l'espace de stockage sans
intervention particulière de l'utilisateur.

## Contournement provisoire

L'éditeur Adobe annonce qu'un correctif pour la version 9.x sera
disponible le 11 mars 2009.

\[11 mars 2009\] : L'éditeur a mis à
disposition un correctif de sécurité pour les versions 9 de Adobe Reader
et Acrobat. Se référer au bulletin de sécurité Adobe apsb09-03 du 10
mars 2009 pour l'obtention des correctifs (cf. section Documentation).

\[20 mars 2009\] : L'éditeur a mis à
disposition un correctif de sécurité pour les versions 8 et 7 de Adobe
Reader et Acrobat. Se référer au bulletin de sécurité Adobe apsb09-04 du
18 mars 2009 pour l'obtention des correctifs (cf. section
Documentation).

Dans l'attente d'un correctif de l'éditeur, plusieurs mesures peuvent
diminuer les risques :

-   utiliser un lecteur alternatif à jour. Certains peuvent fermer
    inopinément à l'ouverture d'un document PDF malveillant mais
    l'exploitation de la vulnérabilité pour exécuter du code arbitraire
    n'est pas, à la date de rédaction de ce bulletin, avérée ;

-   pour gêner certains codes d'exploitation, désactiver le Javascript
    dans les lecteur PDF Adobe et ne l'activer qu'en cas de stricte
    nécessité. Cette mesure s'effectue directement dans l'interface de
    configuration de l'application ou en mettant à 0, pour les systèmes
    Windows uniquement, la valeur de la variable bEnableJS qui se
    trouve :

        pour Adobe Reader dans :
                HCU\Software\Adobe\Acrobat Reader\<version>.0\JSPrefs
        pour Adobe Acrobat dans :
                HCU\Software\Adobe\Adobe Acrobat\<version>.0\JSPrefs

-   mettre les pièces jointes au format PDF en quarantaine dans
    l'attente du correctif.

Par ailleurs, de bonnes pratiques permettent d'atténuer les impacts :

-   n'ouvrir que les documents au format PDF provenant d'une source de
    confiance ;
-   travailler avec un compte aux droits limités.

Afin de limiter l'impact d'un fichier PDF spécialement construit dans le
contexte de l'explorateur de fichiers de Microsoft Windows, le
contournement suivant peut être appliqué :

-   Après l'avoir sauvegardée, supprimer de la base de registre la clé
    :
    `HKEY_CLASSES_ROOT\CLSID\{F9DB5320-233E-11D1-9F84-707F02C10627}`

Exemple d'application avec un interpréteur de commandes sous Microsoft
Windows :

    regsvr32 /u ``c:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\PDFShell.dll''

ou encore :

    reg export HKCR\CLSID\{F9DB5320-233E-11D1-9F84-707F02C10627} .\export.reg
    reg delete HKCR\CLSID\{F9DB5320-233E-11D1-9F84-707F02C10627}

## Solution

Se référer aux bulletins de sécurité Adobe APSB09-03 et APSB09-04
publiés le 10 et le 18 mars respectivement pour l'obtention des
correctifs (cf. section Documentation). Le CERTA a émis l'avis
CERTA-2009-AVI-094 à ce sujet.

Bulletin de sécurité du CERTA CERTA-2009-AVI-094 du 11 mars    2009 :

Bulletin de sécurité Adobe apsa09-01 du 19 février 2009 :

Bulletin d'actualité CERTA-2009-ACT-008, « Vulnérabilité    non corrigée dans Adobe Reader » :

Bulletin d'actualité CERTA-2009-ACT-010, « Retour sur la    vulnérabilité PDF » :

Bulletin de sécurité Adobe apsb09-03 du 10 mars 2009 :

Bulletin de sécurité Adobe apsb09-04 du 18 mars 2009 :

Bulletin d'actualité CERTA-2009-ACT-009, « Retour sur    l'alerte CERTA-2009-ALE-001 concernant Adobe » :

version initiale.

ajout des clés de registre pour la désactivation de l'interprétation JS par GPO.

mise à jour de la section «Description» et de la section «Contournement provisoire».

ajout des références aux bulletins d'actualité du CERTA.

ajout des références aux bulletins de sécurité d'Adobe et du CERTA.

ajout des références au dernier bulletin de sécurité d'Adobe APSB09-04.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans les produits Adobe permet à un utilisateur
malveillant d'exécuter du code arbitraire à distance.

Vulnérabilité dans l'interprétation JBIG2 des produits Adobe

Avis de sécurité Adobe APSA09-01 du 19 février 2009


Microsoft Office Excel 2007 Service Pack 1 ;

Microsoft Office 2008 pour Mac.

Microsoft Office Excel Viewer 2003 ;

Microsoft Office Excel Viewer ;

Microsoft Office Excel 2000 Service Pack 3 ;

Microsoft Office Compatibility Pack pour Word, Excel et Powerpoint 2007, Service Pack 1 ;

Microsoft Office Excel Viewer 2003 Service Pack 3 ;

Microsoft Office Excel 2003 Service Pack 3 ;

Microsoft Office 2004 pour Mac ;

Microsoft Office Excel 2002 Service Pack 3 ;

## Description

Une vulnérabilité a été identifiée sur l'application bureautique
Microsoft Excel.

L'exploitation de cette vulnérabilité par le biais d'un document XLS
spécialement conçu permet à une personne malveillante d'exécuter du code
arbitraire à distance sur un poste ayant une version vulnérable de
l'application.

## Contournement provisoire

Dans l'attente d'un correctif, plusieurs mesures permettent de réduire
l'impact de l'exploitation de cette vulnérabilité :

-   travailler avec un compte utilisateur aux droits restreints
    (principe du moindre privilège) ;
-   utiliser l'outil de conversion MOICE (Microsoft Office Isolated
    Conversion Environment) pour convertir tout fichier XLS en XSLX
    avant son ouverture ;
-   activer la mesure (très restrictive) FileBlock, imposant l'ouverture
    unique des fichiers au nouveau format XML. Les détails pratiques se
    trouvent dans l'avis de sécurité Microsoft ;
-   utiliser un logiciel alternatif (visualisateur, tableur ou suite
    bureautique) ;
-   n'ouvrir que des documents issus de sources de confiance ;
-   être circonspect à l'égard des pièces jointes de courriels et des
    documents téléchargés.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Article du bloc-notes MSRC correspondant :

Article du bloc-notes SWI correspondant :

Référence CVE CVE-2009-0238 :

Avis du CERTA numéro CERTA-2009-AVI-147 du 15 avril 2009 :

version initiale.

ajout du lien vers le correctif.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été identifiée sur Microsoft Excel. L'exploitation
de cette dernière par le biais d'un document spécialement conçu permet à
une personne malveillante d'exécuter du code arbitraire à distance sur
un poste ayant une version vulnérable de l'application.

Vulnérabilité dans Microsoft Excel

Bulletin de sécurité Microsoft MS09-009 du 14 avril 2009

Avis de sécurité Microsoft 968272 du 24 février 2009


Apple Mac OS X 10.5.x pour x86 ;

Apple Mac OS X 10.4.x pour x86.

## Description

Une vulnérabilité affectant un appel système d'Apple Mac OS X relatif au
format de système de fichiers HFS+ permet à une personne malintentionnée
d'élever ses privilèges sur le système.

Le savoir-faire permettant l'exploitation de cette vulnérabilité est
disponible sur l'Internet.

## Contournement provisoire

Les mesures suivantes permettent d'atténuer les risques d'exploitation :

-   ne pas exécuter de fichiers binaires qui ne sont pas de confiance ;

-   exécuter la commande suivante afin d'empêcher la création de fichier
    dmg en ligne de commande.

        sudo chmod 700 /usr/bin/hdiutil

ATTENTION : Le dernier contournement est susceptible de gérer des effets
de bord indésirables.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Apple 61798 du 12 mai 2009 :

Avis CERTA-2009-AVI-186 du 13 mai 2009 :

version initiale ;

ajout de la solution.

Élévation de privilèges

Summary:
Une vulnérabilité affectant Apple Mac OS X permet à une personne
malintentionnée d'élever ses privilèges sur le système cible.

Vulnérabilité dans Apple Mac OS X


Mozilla Firefox version 3.0.7 et versions antérieures.

## Description

Une vulnérabilité dans l'interprétation des fichiers XSL permet à une
personne distante malintentionnée de provoquer un déni de service et,
dans certaines circonstances, d'exécuter du code arbitraire par le biais
d'une corruption mémoire.

Des preuves de faisabilité sont disponibles sur l'Internet.

## Contournement provisoire

Le CERTA recommande les mesures suivantes :

-   désactiver l'interprétation du JavaScript afin de limiter les
    possibilités d'exécution de code arbitraire ;
-   utiliser un navigateur alternatif ;
-   naviguer avec un compte utilisateur aux droits limités.

## Solution

Se reférer au bulletin de sécurité de la fondation Mozilla MFSA2009-12
du 27 mars 2009.

Bulletin de sécurité de la fondation Mozilla MFSA2009-12 du    27 mars 2009 :

Bulletin de sécurité du CERTA CERTA-2009-AVI-121 du 30 mars    2009 :

version initiale.

ajout des références au bulletin de sécurité du CERTA et au bulletin de sécurité de la fondation Mozilla.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité affecte Mozilla Firefox et permet à une personne
distante malintentionnée d'exécuter du code arbitraire ou de réaliser un
déni de service.

Vulnérabilité dans Mozilla Firefox

Bloc-notes de sécurité de la fondation Mozilla


Microsoft Office 2004 pour Mac.

Microsoft Office PowerPoint 2000 SP3, 2002 SP3 (XP SP3), 2003 SP3 ;

## Description

Une vulnérabilité de PowerPoint est exploitable par un utilisateur
malveillant, par le biais d'un fichier PowerPoint spécialement conçu
(.PPS ou .PPT). L'ouverture de ce fichier par un utilisateur du système
vulnérable provoque l'exécution de code arbitraire avec les droits de
cet utilisateur.

Cette vulnérabilité est actuellement exploitée. Des programmes
malveillants (Exploit:Win32/Apptom pour Microsoft, Exploit:W32/Ppdropper
pour F-secure...) circulent sur l'Internet.

## Contournement provisoire

Dans l'attente d'un correctif, les mesures suivantes limitent la
vulnérabilité du système :

-   utiliser une version non vulnérable (voir section Documentation) ou
    un logiciel alternatif ;
-   utiliser l'outil MOICE pour ouvrir un document suspect ;
-   utiliser la fonctionnalité Microsoft Office File Block pour les
    documents des versions inférieures ou égales à 2003, soit par
    édition de la base de registre, soit par application d'une GPO. Les
    instructions détaillées sont données dans le bulletin Microsoft
    (voir section Documentation) ;
-   ne pas ouvrir de document d'origine mal connue ou provenant de
    manière inattendue d'une source connue.

L'utilisation de l'ordinateur avec des droits limités permet d'atténuer
l'impact de l'exploitation de la vulnérabilité.

## Solution

Se référer à l'avis CERTA-2009-AVI-185 pour l'obtention des correctifs
(cf. section Documentation).

Avis CERTA-2009-AVI-185 du 13 mai 2009 :

version initiale.

mise à disposition d'un correctif par l'éditeur, ajout de la référence de l'avis correspondant.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité de PowerPoint permet à un utilisateur malveillant
d'exécuter du code arbitraire à distance.

Vulnérabilité de PowerPoint

Bulletin de sécurité Microsoft 969136 du 02 avril 2009


Adobe Acrobat et Adobe Reader versions 8.1.4 et antérieures ;

Adobe Acrobat et Adobe Reader versions 7.1.1 et antérieures ;

Adobe Acrobat et Adobe Reader versions 9.1 et antérieures.

## Description

Deux vulnérabilités sont présentes dans Adobe Reader et Adobe Acrobat.
Elles sont relatives à certaines fonctions mises en œuvre dans le
contexte du moteur de rendu JavaScript de Adobe Reader et Adobe Acrobat.
Ces failles permettent toutes les deux à un utilisateur malintentionné
distant d'exécuter du code arbitraire par le biais d'un pointeur vers un
fichier PDF construit de façon particulière.

Ces vulnérabilités s'appuyant uniquement sur des fonctions Javascript,
elles ne sont donc pas dépendantes d'une plateforme particulière et
fonctionnent à la fois sous Microsoft Windows, GNU/Linux, UNIX et MacOS
X.

Des codes exploitant ces vulnérabilités sont disponibles sur l'Internet.

Adobe a publié un avis de sécurité précisant qu'un correctif sera mis à
disposition le 12 mai 2009. Il concernera les systèmes d'exploitation
Windows, MacOS et Unix.

## Contournement provisoire

Dans l'attente d'un correctif approprié, il est recommandé de désactiver
le support du JavaScript dans Adobe Reader et Adobe Acrobat en décochant
l'option Activer Acrobat Javascript dans Edition -\> Preferences -\>
Javascript ;

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Adobe du 12 mai 2009 :

Bulletin de sécurité Adobe du 1er mai 2009 :

Bloc-notes PSIRT d'Adobe :

version initiale.

les vulnérabilités touchent également Acrobat et fonctionnent sur toute plateforme, ajout de la référence au bloc-notes d'Adobe.

ajout de la référence au bulletin Adobe APSA09-02 et aux CVE associés.

correctif disponible.

Exécution de code arbitraire à distance

Summary:
Deux vulnérabilités présentes dans Adobe Reader et Adobe Acrobat
permettent à un utilisateur distant d'exécuter du code arbitraire.

Multiples vulnérabilités dans Adobe Reader et Adobe Acrobat


Microsoft Internet Information Services (IIS), pour les    versions 5, 5.1 ou 6.0.

Microsoft Internet Information Services (IIS) 7.0 n'est pas  affecté.

## Description

Une vulnérabilité a été identifiée dans la gestion des en-têtes HTTP par
le serveur Microsoft IIS avec la fonctionnalité WebDAV (Web-based
Distributed Authoring and Versioning). Elle consiste en une mauvaise
manipulation de caractères Unicode et peut être exploitée pour
contourner la phase d'authentification et ainsi accéder (lire, charger
et télécharger) à des fichiers arbitraires.

Du code d'exploitation est disponible sur l'Internet.

## Contournement provisoire

Plusieurs contournements sont envisageables dans l'attente d'un
correctif :

-   si WebDAV n'est pas nécessaire, il doit être désactivé. C'est le cas
    par défaut sous IIS 6 ;
-   restreindre l'accès Web aux machines de confiance ;
-   filtrer les requêtes HTTP entrantes dont l'URL contient la chaîne
    %c0%af et l'en-tête HTTP présente l'information Translate: f.
    L'assistant IIS Lockdown et URLscan peuvent aider dans cette
    démarche, ainsi qu'une passerelle intermédiaire. Les méthodes
    inutiles doivent également être filtrées (PROPFIND par exemple). ;
-   changer les droits d'accès (ACL) du système de fichiers pour
    l'utilisateur anonyme IUSR\_\[Nom-de-la-machine\] ;
-   migrer sous IIS 7 qui n'est pas, avec WebDAV, touché par cette
    vulnérabilité.

## Solution

Se référer au bulletin de sécurité Microsoft MS09-020 pour l'obtention
des correctifs (cf. section Documentation). Le CERTA a publié l'avis
CERTA-2009-AVI-215 à ce sujet.

Forum IIS, "Disable WebDAV protocol on IIS 6.0", mai    2008 :

Référence CVE CVE-2009-1535 :

Page d'accueil Microsoft IIS :

Microsoft IIS Lockdown Tool :

Microsoft IIS Lockdown Tool :

Avis du CERTA CERTA-2001-AVI-053 du 15 mai 2001 :

Bloc-notes de T. Zoller, "IIS6 + WebDAV auth bypass and    data upload", 16 mai 2009 :

Source d'informations sur WebDAV :

Avis de sécurité Microsoft 971492 du 18 mai 2009 :

Bloc-notes Microsoft SRD, "More information about the IIS    authentication bypass", 18 mai 2009 :

Avis CERTA-2009-AVI-215 du 10 juin 2009 :

version initiale.

ajout de la référence à l'avis de sécurité Microsoft associé.

ajout de la référence au bulletin de sécurité Microsoft MS09-020.

Atteinte à l'intégrité des données

Contournement de la politique de sécurité

Summary:
Une vulnérabilité a été identifiée dans Microsoft IIS avec la
fonctionnalité WebDAV. Elle permet à une personne malveillante distante
de contourner la phase d'authentification et ainsi accéder (lire,
charger et télécharger) à des fichiers arbitraires.

Vulnérabilité WebDAV sous Microsoft IIS


Mac OS X versions 10.5.7 et antérieures disposant de la version 1.5.0_16 et antérieures de Java.

## Description

Une vulnérabilité, décrite dans le bulletin CVE CVE-2008-5353,
non-corrigée pour les systèmes Mac OS X permet à un individu distant
d'exécuter du code arbitraire. Cette vulnérabilité affecte la Machine
Virtuelle Java du système. Les navigateurs permettant l'exécution de
Java sont affectés (Mozilla Firefox et Safari notamment). La visite
d'une page compromise ou malveillante permet d'exécuter du code
arbitraire sur un système vulnérable.

Des codes exploitant cette vulnérabilité sont disponibles sur
l'Internet.

## Contournement provisoire

Dans l'attente d'un correctif approprié il est recommandé de :

-   ne pas exécuter de code Java dont la source n'est pas sûre ;
-   désactiver la prise en charge de Java dans le navigateur :
    -   dans les Préférences de Mozilla Firefox : décocher la case «
        Activer Java » dans l'onglet « Contenu » ;
    -   dans les Préférences de Safari : décocher la case « Activer Java
        » dans l'onglet « Sécurité ».
-   n'activer Java que sur les sites de confiance.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Document du CERTA CERTA-2008-AVI-578 du 24 décembre 2008 :

Document du CERTA CERTA-2009-AVI-239 du 17 juin 2009 :

Bulletins de sécurité Apple HT3632 et HT3633 du 15 juin    2009 :

version initiale ;

ajout du correctif.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité de la Machine Virtuelle
Java permet à un individu distant d'exécuter du code arbitraire.

Vulnérabilité Java de Mac OS X

Bulletin de sécurité du CERTA CERTA-2008-AVI-578 du 24 décembre 2008


DirectX 9.0x pour Microsoft Windows 2000 Service Pack 4, Windows XP Service Pack 2 et 3 et Windows Server 2003 Service Pack 2.

DirectX 8.1 pour Microsoft Windows 2000 Service Pack 4 ;

DirectX 7.0 pour Microsoft Windows 2000 Service Pack 4 ;

## Description

Une vulnérabilité a été identifiée dans la manipulation de fichiers
multimédia Quicktime par Microsoft DirectShow (quartz.dll).

Elle peut être exploitée à distance par le biais de pages Web
spécialement construites afin d'exécuter, lors de la navigation sur ces
pages, du code arbitraire sur le système vulnérable. L'exploitation peut
se faire indépendemment du navigateur choisi dans la mesure où un module
de lecture multimédia est utilisé.

La pré-visualisation ou le passage de la souris sur un fichier
malveillant (répertoire de partage par exemple) peut également provoquer
la compromission du système.

Des codes d'exploitation sont actuellement disponibles sur l'Internet.

## Contournement provisoire

Le filtrage ou la désactivation de certains formats de fichiers
QuickTime n'est pas suffisant. D'autres formats peuvent également
contenir des données QuickTime (les AVI par exemple). Il faut donc
désactiver de préférence l'interprétation de ces données. Cela peut se
faire en supprimant la clé de registre suivante :

    HKC_ROOT\CLSID\{D51BD5A0-7548-11CF-A520-0080C77EF58A}

L'avis de sécurité KB971778 de Microsoft pointe vers un service nommé
Fix it permettant d'effectuer cette opération sous forme d'un logiciel à
installer.

Une autre mesure peut consister à restreindre l'accès à la bibliothèque
quartz.dll. La procédure est aussi indiquée dans l'avis de sécurité
KB971778. Cette mesure peut cependant avoir des effets de bord sur
certains lecteurs multimédia et des applications tierces.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bloc-Notes Microsoft SRD, "New vulnerability in quartz.dll    Quicktime parsing", 28 mai 2009 :

Bloc-Notes Microsoft SRD, "MS08-033: So what breaks when    you ACL quartz.dll?", 10 juin 2008 :

Bulletin de sécurité Microsoft MS09-028 du 14 juillet 2009    :

Avis CERTA-2009-AVI-273 du 15 juillet 2009 :

Bloc-notes Microsoft MSRC, "Microsoft Security Advisory    971778 Vulnerability in Microsoft DirectShow Released", 28 mai    2009 :

version initiale.

ajout du lien vers le correctif.

Déni de service à distance

Exécution de code arbitraire à distance

Vulnérabilité dans Microsoft DirectShow

Avis de sécurité Microsoft KB971778 du 28 mai 2009


Microsoft Windows Server 2003 ;

Microsoft Windows XP.

## Description

Une erreur dans le contrôle ActiveX Microsoft Video (msvidctl.dll) en
charge de la gestion de flux vidéo permet à une personne distante
malintentionnée d'exécuter du code arbitraire via une page web
spécialement construite.

Cette vulnérabilité est déjà exploitée sur l'Internet et ne necéssite
pas forcément de contenu vidéo sur la page visitée.

## Contournement provisoire

Les moyens de contournement suivants sont disponibles :

-   Microsoft a publié un contournement provisoire permettant de
    désactiver le contrôle ActiveX mis en cause. Une application est
    disponible sur le bulletin de sécurité Microsoft (cf. la section
    Documentation).

    Afin de désactiver le contrôle ActiveX, il faut placer la valeur
    Compatibility Flags pour chaque Class Identifier suivants comme
    décrit ci-dessous :

        [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\
        {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}]
        "Compatibility Flags"=dword:00000400

    Liste des Class Identifiers :

    {011B3619-FE63-4814-8A84-15A194CE9CE3}

    {0149EEDF-D08F-4142-8D73-D23903D21E90}

    {0369B4E5-45B6-11D3-B650-00C04F79498E}

    {0369B4E6-45B6-11D3-B650-00C04F79498E}

    {055CB2D7-2969-45CD-914B-76890722F112}

    {0955AC62-BF2E-4CBA-A2B9-A63F772D46CF}

    {15D6504A-5494-499C-886C-973C9E53B9F1}

    {1BE49F30-0E1B-11D3-9D8E-00C04F72D980}

    {1C15D484-911D-11D2-B632-00C04F79498E}

    {1DF7D126-4050-47F0-A7CF-4C4CA9241333}

    {2C63E4EB-4CEA-41B8-919C-E947EA19A77C}

    {334125C0-77E5-11D3-B653-00C04F79498E}

    {37B0353C-A4C8-11D2-B634-00C04F79498E}

    {37B03543-A4C8-11D2-B634-00C04F79498E}

    {37B03544-A4C8-11D2-B634-00C04F79498E}

    {418008F3-CF67-4668-9628-10DC52BE1D08}

    {4A5869CF-929D-4040-AE03-FCAFC5B9CD42}

    {577FAA18-4518-445E-8F70-1473F8CF4BA4}

    {59DC47A8-116C-11D3-9D8E-00C04F72D980}

    {7F9CB14D-48E4-43B6-9346-1AEBC39C64D3}

    {823535A0-0318-11D3-9D8E-00C04F72D980}

    {8872FF1B-98FA-4D7A-8D93-C9F1055F85BB}

    {8A674B4C-1F63-11D3-B64C-00C04F79498E}

    {8A674B4D-1F63-11D3-B64C-00C04F79498E}

    {9CD64701-BDF3-4D14-8E03-F12983D86664}

    {9E77AAC4-35E5-42A1-BDC2-8F3FF399847C}

    {A1A2B1C4-0E3A-11D3-9D8E-00C04F72D980}

    {A2E3074E-6C3D-11D3-B653-00C04F79498E}

    {A2E30750-6C3D-11D3-B653-00C04F79498E}

    {A8DCF3D5-0780-4EF4-8A83-2CFFAACB8ACE}

    {AD8E510D-217F-409B-8076-29C5E73B98E8}

    {B0EDF163-910A-11D2-B632-00C04F79498E}

    {B64016F3-C9A2-4066-96F0-BD9563314726}

    {BB530C63-D9DF-4B49-9439-63453962E598}

    {C531D9FD-9685-4028-8B68-6E1232079F1E}

    {C5702CCC-9B79-11D3-B654-00C04F79498E}

    {C5702CCD-9B79-11D3-B654-00C04F79498E}

    {C5702CCE-9B79-11D3-B654-00C04F79498E}

    {C5702CCF-9B79-11D3-B654-00C04F79498E}

    {C5702CD0-9B79-11D3-B654-00C04F79498E}

    {C6B14B32-76AA-4A86-A7AC-5C79AAF58DA7}

    {CAAFDD83-CEFC-4E3D-BA03-175F17A24F91}

    {D02AAC50-027E-11D3-9D8E-00C04F72D980}

    {F9769A06-7ACA-4E39-9CFB-97BB35F0E77E}

    {FA7C375B-66A7-4280-879D-FD459C84BB02}

    Remarque : Cette désactivation peut empêcher la visualisation de
    vidéos avec Internet Explorer.

-   utiliser un navigateur alternatif.

Rappel : d'une manière générale la désactivation des contrôles ActiveX
par défaut reste une bonne pratique.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft MS09-032 du 14 juillet 2009    :

Lien de téléchargement du contournement provisoire    Microsoft :

Avis CERTA-2009-AVI-278 du 15 juillet 2009 :

version initiale.

ajout de la référence au bulletin de sécurité Microsoft MS09-032.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans le contrôle ActiveX
Microsoft Video permet à une personne malintentionnée d'exécuter du code
arbitraire à distance.

Vulnérabilité dans le contrôle ActiveX Microsoft Video

Bulletin de sécurité Microsoft 972890 du 06 juillet 2009


Microsoft Internet Security and Acceleration Server 2006 SP1 ;

Microsoft Office 2003 SP3 ;

Microsoft Internet Security and Acceleration Server 2006 ;

Microsoft Office XP Web Components SP3 ;

Microsoft Office Small Business Accounting 2006.

Microsoft Internet Security and Acceleration Server 2004 Standard & Enerprise Edition SP3 ;

Microsoft Office 2003 Web Components SP3 ;

Microsoft Office Web Component pour Microsoft Office 2007 SP1 ;

Microsoft Office XP SP3 ;

Internet Security and Acceleration Server 2006 Supportability Update ;

## Description

Une vulnérabilité de nature non précisée par l'éditeur dans Microsoft
Office Web Components Control permet à une personne malintentionnée
distante d'exécuter du code arbitraire, avec les droits de
l'utilisateur, au moyen d'une page web spécialement écrite visualisée
dans Internet Explorer.

## Contournement provisoire

Les moyens de contournement suivants sont disponibles :

-   Microsoft a publié un contournement provisoire afin de désactiver le
    composant mis en cause. Une application est disponible sur le
    bulletin de sécurité Microsoft (cf. la section Documentation). Afin
    de désactiver le composant, il faut placer la valeur Compatibility
    Flags pour chaque Class Identifier suivants comme décrit ci-dessous
    :

        [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\
        {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}]
        "Compatibility Flags"=dword:00000400

    Liste des Class Identifiers :

    {0002E541-0000-0000-C000-000000000046}

    {0002E559-0000-0000-C000-000000000046}

-   utiliser un navigateur alternatif.

## Solution

Se référer au bulletin de sécurité MS09-043 de Microsoft pour
l'obtention des correctifs (cf. section Documentation).

Avis CERTA-2009-AVI-331 du 12 août 2009 :

Bulletin de sécurité Microsoft MS09-043 du 11 août 2009 :

version initiale.

ajout de la solution.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Microsoft Office Web
Components Control permet à un utilisateur malveillant d'exécuter
du code arbitraire à distance.

Vulnérabilité dans Microsoft Office Web Components Control

Bulletin de sécurité Microsoft 973472 du 13 juillet 2009


## Description

Une vulnérabilité affectant le traitement de la balise \<font\> par
l'interpréteur JavaScript permet à une personne malveillante d'exécuter
du code arbitraire à distance au moyen d'une page web spécialement
écrite.

Un code permettant l'exploitation de cette vulnérabilité est disponible
sur l'Internet.

## Contournement provisoire

Dans l'attente d'un correctif le CERTA recommande d'utiliser un
navigateur alternatif ou de naviguer avec le JavaScript désactivé.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Référence NIST du CVE-2009-2477 :

Article de sécurité Mozilla du 14 juillet :

Bulletin de sécurité de la fondation Mozilla MFSA 2009-41    du 16 juillet 2009 :

version initiale.

ajout des liens Mozilla et CVE.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité affectant le traitement d'une balise HTML permet à une
personne malveillante d'exécuter du code arbitraire à distance.

Vulnérabilité dans Mozilla Firefox

Bulletin de sécurité Secunia 35798 du 14 juillet 2009


Adobe Acrobat 9.x ;

Adobe Reader 9.x ;

Adobe Flash Player 10.x.

Cette vulnérabilité peut affecter les systèmes d'exploitation  suivants :

Microsoft Windows ;

Apple Mac OS X ;

Gnu/Linux.

## Description

Une vulnérabilité causée par une erreur dans le traitement des fichiers
au format SWF (Shockwave Flash) permet à une personne malintentionnée de
provoquer un déni de service ou d'exécuter du code arbitraire.

Cette vulnérabilité peut être exploitée à distance au moyen d'un fichier
SWF ou PDF spécialement construit.

Des cas d'exploitation liés à cette vulnérabilité sont d'ores et déjà
recensés sur l'Internet.

## Contournement provisoire

Désactiver l'interprétation des animations Flash ainsi que les
animations 3D.

Afin de limiter l'impact lié à l'exploitation de cette vulnérabilité,
les contournements décrits ci-dessous, non exhaustifs, peuvent être
appliqués.

Remarque : la mise en œuvre de ces contournements de sécurité peut avoir
des effets de bord sur l'activité du système. Il est important de les
tester avant tout déploiement.

## 5.1 Adobe Acrobat et Adobe Reader pour Microsoft Windows

-   renommer, supprimer ou retirer les droits d'accès des fichiers
    suivants :

    <span
    class="small">`C:\Program      Files\Adobe\Reader 9.0\Reader\authplay.dll`
    `C:\Program Files\Adobe\Reader      9.0\Reader\rt3d.dll`</span>

## 5.2 Adobe Acrobat et Adobe Reader pour Mac OS X

-   renommer, supprimer ou retirer les droits d'accès des fichiers
    suivants :

    <span
    class="small">`/Applications/Adobe Reader      9/Adobe      Reader.app/Contents/Frameworks/AuthPlayLib.bundle`
    `/Applications/Adobe Reader 9/Adobe      Reader.app/Contents/Frameworks/Adobe3D.framework`</span>

## 5.3 Adobe Acrobat et Adobe Reader pour GNU/Linux

-   renommer, supprimer ou retirer les droits d'accès des fichiers
    suivants :

    <span
    class="small">`/opt/Adobe/Reader9/Reader/intellinux/lib/libauthplay.so`
    `/opt/Adobe/Reader9/Reader/intellinux/lib/librt3d.so`</span>

Remarque : l'emplacement de ces fichiers peut varier en fonction des
distributions GNU/Linux et de la procédure d'installation de
l'application.

## 5.4 ActiveX pour Internet Explorer

Désactiver le contrôle ActiveX. Il faut placer la valeur Compatibility
Flags pour chaque Class Identifier comme décrit ci-dessous :

    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}]
    ``Compatibility Flags''=dword:00000400

Class Identifiers à désactiver :

    {D27CDB6E-AE6D-11cf-96B8-444553540000}

Ou rechercher et supprimer le fichier flash10\*.ocx.

## 5.5 Module pour Mozilla Firefox

Désactiver le module Shockwave Flash dans le navigateur Mozilla Firefox
:

-   Dans Outils, puis Modules complémentaires ;
-   selectionner le module Shockwave Flash et le désactiver.

Ou rechercher et supprimer le fichier flashplayer.xpt.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Note de vulnérabilité de l'US-CERT VU#259425 du 22 juillet    2009 :

Bulletin de sécurité Adobe APSA09-03 du 22 juillet 2009 :

Bulletin de sécurité Adobe APSA09-03 du 30 juillet 2009 :

Avis CERTA-2009-AVI-305 du 31 juillet 2009 :

version initiale ;

ajout de la solution.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité présente dans certains produits Adobe permet à un
utilisateur distant malintentionné de provoquer un déni de service ou
d'exécuter du code arbitraire.

Vulnérabilité Shockwave Flash pour les produits Adobe

Bloc-notes d'Adobe du 21 juillet 2009


Mozilla Thunderbird version 2.0.0.23 et versions antérieures.

## Description

De multiples vulnérabilités sont présentes dans la version 2.0.0.23 et
dans les versions antérieures du client de messagerie Mozilla
Thunderbrid. Ces vulnérabilités permettent de réaliser des actions
malveillantes telles que le contournement de la politique de sécurité,
l'élévation de privilège, ou encore l'exécution de code arbitraire à
distance.

Pour le détail de chaque vulnérabilité, se reporter aux bulletins de
sécurité de l'éditeur (cf. section Documentation).

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité de la fondation Mozilla    2009/mfsa2009-19 du 21 avril 2009 :

Bulletin de sécurité de la fondation Mozilla    2009/mfsa2009-34 du 21 juillet 2009 :

Bulletin de sécurité de la fondation Mozilla    2009/mfsa2009-42 du 01 août 2009 :

Bulletin de sécurité de la fondation Mozilla    2009/mfsa2009-43 du 01 août 2009 :

Bulletin de sécurité de la fondation Mozilla    2009/mfsa2009-18 du 21 avril 2009 :

Bulletin d'actualité du CERTA numéro CERTA-2009-ACT-032 du    07 août 2009 :

Bulletin de sécurité de la fondation Mozilla    2009/mfsa2009-31 du 11 juin 2009 :

version initiale ;

prise en compte de la version 2.0.0.23 ;

fermeture de l'alerte, suite à la correction de l'éditeur.

Injection de code indirecte

Exécution de code arbitraire à distance

Élévation de privilèges

Contournement de la politique de sécurité

Summary:
De multiples vulnérabilités conduisant, entre autres, à une exécution de
code arbitraire à distance ont été découvertes dans Mozilla Thunderbird.

Multiples vulnérabilités du client de messagerie Mozilla Thunderbird

Bulletins de sécurité Mozilla MFSA2009-18, MFSA2009-19, MFSA2009-31,

MFSA2009-34, MFSA2009-42, MFSA2009-43


Microsoft Internet Information    Services (IIS) 5.0 (FTP Service 5.0) ;

Microsoft Internet Information    Services (IIS) 5.1 (FTP Service 5.1) ;

Microsoft Internet Information    Services (IIS) 6.0 (FTP Service 6.0) ;

Microsoft Internet Information    Services (IIS) 7.0 (FTP Service 7.0).

Microsoft IIS 7.5 n'est pas  affecté. Les utilisateurs de Microsoft  IIS 7.0 avec FTP Service 7.5 ne sont pas affectés.

## Description

Une vulnérabilité (CVE-2009-3023), de type débordement de mémoire, est
présente dans le serveur FTP de Microsoft IIS. Elle permet à un
utilisateur distant malintentionné de provoquer un déni de service sur
les versions 5.1 et 6.0 et 7.0 ou d'exécuter du code arbitraire sur la
version 5.0 du serveur vulnérable.

Pour exploiter cette faille, l'attaquant doit disposer d'un compte ayant
les droits d'écriture sur le serveur afin d'y créer des répertoires
particuliers.

La deuxième vulnérabilité (CVE-2009-2521), due à une saturation des
ressources de la pile, permet à une personne malintentionnée
authentifiée de provoquer un déni de service au moyen d'une commande
spécifique.

Du code permettant l'exploitation de ces vulnérabilités est disponible
sur l'Internet.

## Contournement provisoire

Pour la première vulnérabilité :

-   Désactiver le support de l'écriture de fichiers dans la
    configuration du serveur FTP de Microsoft IIS pour les utilisateurs
    non identifiés (compte anonymous) ;
-   supprimer la permission NTFS de créer des répertoires pour les
    utilisateurs du service ;

Pour les deux vulnérabilités :

-   restreindre l'accès du serveur FTP aux seules personnes de confiance
    ;
-   désactiver le service FTP si ce dernier n'est pas nécessaire ;
-   utiliser un serveur FTP alternatif.

Les utilisateurs de Microsoft Internet Information Services 7.0 peuvent
également mettre à jour le service FTP en version 7.5.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft 975191 du 01 septembre 2009    :

Bulletin de sécurité Microsoft MS09-053 du 13 octobre 2009    :

Document du CERTA CERTA-2009-AVI-433 du 14 octobre 2009 :

Note de vulnérabilité de l'US-CERT VU#276653 du 31 août    2009 :

version initiale.

mise à jour des contournements provisoires, ajout des références au bulletin Microsoft et au CVE.

ajout de la référence CVE-2009-2521, ajout de IIS 7.0 dans la liste des produits vulnérables.

mise à jour des produits affectés, de la description des vulnérabilités et ajout d'un contournement provisoire.

ajout de la solution et des références correspondantes.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Deux vulnérabilités présentes dans le serveur FTP de Microsoft IIS permettent à un utilisateur distant
de provoquer un déni de service ou d'exécuter du code arbitraire.

Vulnérabilités du serveur FTP de Microsoft IIS

Bulletin de sécurité VU#276653 de l'US-CERT


Microsoft Windows Vista Service Pack 1 ;

Microsoft Windows Vista ;

Microsoft Windows Vista Service Pack 2 ;

Microsoft Windows Server 2008 pour systèmes 32 bits Service Pack 2 ;

Microsoft Windows Server 2008 pour systèmes Itanium Service Pack 2 ;

Microsoft Windows Server 2008 pour systèmes x64 Service Pack 2.

Microsoft Windows Server 2008 pour systèmes x64 ;

Microsoft Windows Vista x64 ;

Microsoft Windows Server 2008 pour systèmes 32 bits ;

Microsoft Windows Vista x64 Service Pack 1 ;

Microsoft Windows Server 2008 pour systèmes Itanium ;

Microsoft Windows Vista x64 Service Pack 2 ;

## Description

Une vulnérabilité a été identifiée dans le pilote srv2.sys. Une personne
malintentionnée distante, peut, au moyen d'un paquet spécifiquement
conçu, provoquer un déni de service voire exécuter du code arbitraire.

Du code d'exploitation est disponible sur l'Internet.

## Contournement provisoire

-   désactiver SMB v2 (cf. avis Microsoft) ;
-   filtrer les ports 139/TCP et 445/TCP en amont.

Les contournements proposés permettent de maintenir la mise en œuvre du
partage de fichiers en utilisant le protocole SMB dans sa version 1.

Toutefois des effets de bords liés à l'application de ces contournements
ne peuvent être écartés, telle une diminution des performances. De ce
fait, le CERTA recommande de procéder à la vérification de ces
contournements dans le contexte du système d'information vulnérable
avant tout déploiement.

De plus, Microsoft a publié deux outils permettant d'automatiser
l'application du contournement provisoire ainsi que son retrait. Ces
outils sont disponibles à l'adresse suivante :

    http://support.microsoft.com/kb/975497

## Solution

Le bulletin de sécurité MS09-050 de Microsoft corrige cette
vulnérabilité.

Article Microsoft 975497 du 17 septembre 2009 :

Référence CVE CVE-2009-3103 :

version initiale ;

ajout d'un lien dans la section Documentation et modification de la section Contournement provisoire ;

ajout du correctif.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans SMBv2 sous Microsoft Windows permet à une
personne malintentionnée distante de provoquer un déni de service et
potentiellement d'exécuter du code arbitraire.

Vulnérabilité de SMBv2 dans Microsoft Windows

Bulletin de sécurité Microsoft MS09-050

Avis de sécurité Microsoft 975497


Microsoft Windows 2000 Service Pack 4 ;

Microsoft Windows XP Service Pack 2 ;

Microsoft Windows XP Service Pack 3 ;

Red Hat Enterprise Linux 3, 4, 5 ;

Red Hat Enterprise MRG ;

Sun Solaris versions 8, 9 et 10.

D'autres produits sont très probablement affectés par ces  vulnérabilités.

## Description

Plusieurs vulnérabilités dans l'implémentation TCP/IP de certains
produits permettent à une personne malintentionnée distante de provoquer
un déni de service. Les conséquences, failles et le volume de trafic
nécessaire peuvent varier selon les produits.

Microsoft a annoncé ne pas corriger ces failles pour Windows 2000, qui
bénéficie officiellement d'un support étendu jusqu'au 13 juillet 2010.

Microsoft n'a également pas publié de correctif pour Windows XP car la
configuration par défaut n'est pas affectée (pas d'exception dans le
pare-feu intégré).

## Contournement provisoire

Les personnes utilisant l'un des systèmes concernés comme poste client
peuvent utiliser un dispositif de filtrage à état (stateful) afin de
bloquer les connexions entrantes non sollicitées.

Au besoin, les utilisateurs sont invités à lire les bulletins de
sécurité des différents éditeurs pour des contournements adaptés aux
produits concernés.

## Solution

Les vulnérabilités ont été corrigés dans les produits Microsoft
(MS09-048), Oracle (CPUJul2012), Redhat (RHBA-2009-1539), Solaris (Sun
Alert 267088) et Cisco (cisco-sa-20090908-tcp24). Se rapprocher de
l'éditeur pour obtenir un correctif pour les produits non cités.

Bulletin de sécurité Microsoft MS09-048 du 08 septembre    2009 :

Bulletin de sécurité Oracle CPUJul2012 de juillet 2012 :

Bulletin de sécurité Sun Solaris Alert 267088 du 09    septembre 2009 :

Bulletin de sécurité Cisco cisco-sa-20090908-tcp24 du 08    septembre 2009 :

Bulletin de sécurité Redhat RHBA-2009-1539 du 02 octobre    2009 :

Entrée 18730 de la base de connaissances de Red Hat :

Avis de sécurité du CERT-FI :

modification de l'alerte pour prendre en compte tous les produits ;

ajout du bulletin de sécurité Sun Solaris.

fermeture de l'alerte.

Déni de service à distance

Summary:
Des vulnérabilités dans la pile TCP/IP de certains produits permettent à
une personne malintentionnée distante de provoquer un déni de service.

Vulnérabilités dans l'implémentation TCP/IP de divers produits


Adobe Reader et Acrobat, versions 8.1.6 et antérieures, pour toutes les plateformes ;

Adobe Reader et Acrobat, versions 9.1.3 et antérieures, pour toutes les plateformes ;

Adobe Reader et Acrobat, versions 7.1.3 et antérieures, pour toutes les plateformes.

## Description

Une vulnérabilité non détaillée affecte Adobe Reader et Adobe Acrobat.
Elle permet l'exécution de code arbitraire à distance. L'exploitation de
cette vulnérabilité ne nécessite pas que le support du Javascript soit
activé bien que cela en facilite son utilisation.

Du code permettant l'exploitation de cette vulnérabilité est disponible
sur l'Internet.

## Contournement provisoire

L'editeur annonce un correctif pour le 13 octobre 2009.

En attendant le CERTA recommande :

-   d'utiliser des logiciels alternatifs ;
-   de laisser inactif l'interprétation des Javascript ;
-   d'activer le DEP (Data Execution Protection) sur windows Vista pour
    tous les exécutables du système (l'activation de cette
    fonctionnalité peut avoir des effets indésirables sur certaines
    applications) ;
-   de convertir les fichiers suspects au format ps puis de nouveau au
    format PDF sur une machine sas ;
-   de n'ouvrir que des fichiers provenant de sources qualifiées de
    sûres.

## Solution

Se référer au bulletin Adobe APSB09-15 du 13 octobre 2009 pour
l'obtention des correctifs (cf. section Documentation).

Avis de sécurité du CERTA CERTA-2009-AVI-445 du 14    octobre 2009 :

Bulletin de sécurité Adobe APSB09-15 du 08 octobre 2009,    mis à jour le 13 octobre 2009 :

ajout d'un contournement et de versions vulnérables.

ajout de la solution.

Exécution de code arbitraire à distance

Vulnérabilité dans Adobe Reader et Adobe Acrobat

Bulletin de sécurité Adobe APSB09-15 du 8 octobre 2009


Windows 7 pour systèmes 64 bits ;

Windows 7 ;

Windows Server 2008 R2 pour systèmes Itanium.

Windows Server 2008 R2 pour systèmes 64 bits ;

## Description

Une vulnérabilité affectant l'implémentation du protocole SMB (Server
Message Block) dans Windows 7 et Windows Server 2008 R2 permet à une
personne malintentionnée distante de provoquer un déni de service. Le
savoir-faire permettant d'exploiter cette vulnérabilité a été publié sur
l'Internet.

## Contournement provisoire

En attendant le publication d'un correctif par l'éditeur, le CERTA
recommande de mettre en place la mesure suivante : filtrer les ports
TCP/139 et TCP/445.

Le filtrage de ces ports peut nuire au fonctionnement de diverses
applications ou services comme le partage de fichiers et d'imprimantes,
les politiques de groupe, DFS (Distributed File System) ...

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft MS10-020 du 13 avril 2010 :

Avis du CERTA CERTA-2010-AVI-168 du 14 avril 2010 :

version initiale.

ajout de la référence au correctif.

Déni de service à distance

Summary:
Une vulnérabilité dans Windows 7 et Windows Server 2008 R2 permet à une
personne distante d'effectuer un déni de service.

Le correctif a été publié le 13 avril 2010.

Vulnérabilité dans Windows 7 et Windows Server 2008 R2

Bulletin de sécurité Microsoft 977544 du 13 novembre 2009


Internet Explorer 7.

Internet Explorer 6 ;

## Description

Une vulnérabilité non corrigée existe dans les versions 6 et 7
d'Internet Explorer et permet à une personne malintentionnée d'exécuter
du code arbitraire à distance. Le code permettant l'exploitation de
cette vulnérabilité est disponible sur l'internet.

## Contournement provisoire

Dans l'attente d'un correctif de l'éditeur, le CERTA recommande les
mesures suivantes :

-   utiliser un navigateur alternatif ;
-   désactiver l'exécution du JavaScript par défaut et ne l'activer
    qu'au cas par cas sur des sites de confiance ;

Le CERTA rappelle également qu'il est fortement conseillé de naviguer
sur l'Internet avec un compte utilisateur aux droits restreints. De
plus, l'activation de DEP (Data Execution Prevention) peut empêcher
certaines exploitations de la vulnérabilité (cf. bulletin de l'éditeur).

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft MS09-072 du 08 décembre 2009    :

Bulletin de sécurité du CERTA CERTA-2009-AVI-538 du 09    décembre 2009:

Bulletin de sécurité Microsoft #977981 du 23 novembre 2009    :

version initiale.

ajout de la référence au bulletin de sécurité de Microsoft et mise à jour du contournement.

ajout de la référence CVE.

ajout de la solution.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Internet Explorer versions 6 et 7 permet à une
personne malintentionnée d'exécuter du code arbitraire à distance.

Vulnérabilité dans Internet Explorer


Adobe Illustrator CS3 versions 13.0.3 et antérieures.

Adobe Illustrator CS4 version 14.0.0 ;

## Description

Une vulnérabilité de type débordement de mémoire affecte le traitement
des fichiers au format eps dans Adobe Illustrator CS3 et Adobe
Illustrator CS4. Elle permet à une personne malveillante distante
d'exécuter du code arbitraire en incitant un utilisateur à ouvrir un
fichier au format eps spécialement conçu.

Du code permettant l'exploitation de cette vulnérabilité est disponible
sur l'Internet.

## Contournement provisoire

L'éditeur annonce un correctif pour le 8 janvier 2010.

En attendant le CERTA recommande :

-   de n'ouvrir des fichiers au format eps qu'en provenance de sources
    qualifiées de sûres ;
-   d'utiliser des logiciels alternatifs.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité du CERTA CERTA-2010-AVI-007 du 08    janvier 2010 :

Bulletin de sécurité Adobe Illustrator apsb10-01 du 07    janvier 2010 :

Bulletin de sécurité Adobe apsa09-06 du 07 décembre 2009 :

version initiale.

ajout de la solution.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité affecte Adobe Illustrator CS3 et Adobe Illustrator CS4
lors du traitement des fichiers au format eps (Encapsulated Postscript). Elle permet l'exécution
de code arbitraire à distance.

Vulnérabilité dans Adobe Illustrator

Bulletin de sécurité Adobe APSA09-06 du 07 décembre 2009


La vulnérabilité a été confirmée sur  les produits TANDBERG MXP, versions F8.2, F8.0, F7.2 et F6.3.

## Description

Une vulnérabilité affecte les produits TANDBERG MXP lors du traitement
du flux H.225 RAS. Une personne malveillante distante peut l'exploiter
au moyen d'un nombre déterminé de paquets identiques afin d'épuiser les
ressources et ainsi provoquer un déni de service.

Il n'est pas exclu que la vulnérabilité puisse conduire à une attaque
autre que le déni de service.

## Solution

Fin du suivit par le CERTA. Se rapprocher de l'éditeur pour l'obtention
d'un correctif.

version initiale.

Déni de service à distance

Summary:
Une vulnérabilité affecte les produits TANDBERG MXP lors du traitement
du flux H.225 RAS (Registration, Administration and
Status). Elle permet à une personne malveillant distante de
provoquer un déni de service.

Vulnérabilité dans TANDBERG MXP


Adobe Reader et Acrobat, versions 9.2  et antérieures, pour toutes les plateformes.

## Description

Une vulnérabilité non détaillée affecte Adobe Reader et Adobe Acrobat.
Elle permet l'exécution de code arbitraire à distance par le biais d'un
débordement de mémoire.

## Contournement provisoire

L'éditeur annonce un correctif pour le 12 janvier 2010.

En attendant le CERTA recommande :

-   d'utiliser des logiciels alternatifs ;
-   de désactiver l'interprétation du Javascript ;
-   d'activer le DEP (Data Execution Protection) sur Windows Vista pour
    tous les exécutables système (l'activation de cette fonctionnalité
    peut avoir des effets indésirables sur certaines applications).

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité CERTA CERTA-2010-AVI-012 du 13 janvier    2010 :

Bulletin de sécurité Abobe APSB10-02 du 12 janvier 2010 :

version initiale.

ajout de la section Solution et des références aux bulletins de sécurité Adobe et CERTA.

Exécution de code arbitraire à distance

Bulletin de sécurité Abobe APSA09-07 du 15 décembre 2009


Microsoft Internet Explorer 8.

Microsoft Internet Explorer 7 ;

Microsoft Internet Explorer 6 ;

## Description

Une vulnérabilité due à une référence à un pointeur non valide permet à
une personne malintentionnée d'exécuter du code arbitraire à distance.
Des exploitations limitées de cette vulnérabilité ont déjà été
constatées.

Le CERTA rappelle que les vulnérabilités d'Internet Explorer sont
exploitables au moyen de documents Microsoft Office (cf. bulletin
d'actualité CERTA-2009-ACT-012).

## Contournement provisoire

Un correctif de sécurité est disponible depuis le 21 janvier 2010, se
référer à l'avis CERTA-2010-AVI-025.

Dans l'attente d'un correctif de l'éditeur, le CERTA recommande
l'utilisation d'un navigateur alternatif.

Le CERTA rappelle également qu'il est fortement conseillé de naviguer
sur l'Internet avec un compte utilisateur aux droits limités et la
désactivation de l'interprétation de code dynamique (JavaScript,
ActiveX, ...). De plus, l'activation du DEP (Data Execution Prevention)
peut limiter l'impact de cette vulnérabilité.

Des contournements permettent d'empêcher l'exploitation de la
vulnérabilité via des documents Microsoft Office.

Dans Office 2007, il faut désactiver totalement la prise en compte des
ActiveX dans les documents : dans le menu principal, sélectionner «
Options Word » , « Centre de gestion de la confidentialité » , «
Paramètres du Centre de gestion de la confidentialité » , « Paramètres
ActiveX » , et enfin l'option « Désactiver tous les contrôles sans
notification. »

Dans Office 2003, il n'est pas possible de désactiver la prise en compte
des ActiveX. Toutefois, la désactivation de la prise en compte des
fichiers de type XML permet de limiter l'exploitation de la
vulnérabilité pour les scénarios d'exploitation découverts jusqu'à
présent.

Ceci se fait en modifiant la clé de registre suivante :

    HKCU\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock

et en affectant 1 à la valeur (de type DWORD) XmlFiles. Il faut faire de
même pour les autres applications Microsoft Office (remplacer Word par
Excel, Powerpoint, etc.).

Ce contournement pour Office 2003 peut avoir des effets de bord et doit
donc être utilisé avec précaution.

## Solution

Le bulletin de sécurité MS010-002 de Microsoft corrige le problème.

Se référer à ce bulletin pour l'obtention des correctifs (cf. section
Documentation).

Bulletin d'actualité CERTA-2009-ACT-012 du 20 mars 2009 :

Bulletin de sécurité Microsoft MS10-002 du 21 janvier 2010    :

Avis CERTA-2010-AVI-025 du 22 janvier 2010 :

version initiale.

modification des sections « Description » et « Contournement provisoire » pour la prise en compte des documents Office.

ajout de la section « Solution ».

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Microsoft Internet Explorer permet à une personne
malintentionnée d'exécuter du code arbitraire à distance.

Vulnérabilité dans Microsoft Internet Explorer

Bulletin de sécurité Microsoft #979352 du 14 janvier 2010


Remarque : les versions 64-bit des systèmes d'exploitations de  <TT>Microsoft</TT> ne sont pas affectés par cette  vulnérabilité.

Microsoft Windows 2000 Service Pack 4 ;

Microsoft XP Service Pack 2 et Windows XP Service Pack 3    ;

Microsoft Server 2003 Service Pack 2 ;

Windows Vista, Windows Vista Service Pack 1 et Windows    Vista Service Pack 2 ;

Microsoft Server 2008 ;

Windows 7.

## Description

Une vulnérabilité dans le sous-système MS-DOS (ntvdm.exe) et affectant
potentiellement toutes les versions 32 bits de Microsoft Windows, permet
à un utilisateur local d'élever ses privilèges au moyen d'un exécutable
spécialement construit.

Le savoir-faire nécessaire pour exploiter cette vulnérabilité est d'ores
et déjà disponible sur l'Internet.

## Contournement provisoire

Le CERTA recommande de désactiver l'accès au sous-systèmes MS-DOS en
modifiant les stratégies de groupes.

L'application de ce contournement provisoire peut avoir des effets de
bords indésirable. En effet, certaines applications présentes nativement
sur un système Microsoft Windows fonctionnent au moyen de l'accès au
sous-système MS-DOS. Pour ne citer qu'un exemple, l'exécutable
COMMAND.COM ne pourra donc plus fonctionner suite à l'application de ce
contournement provisoire. Naturellement, tous les scripts faisant appel
à des programmes nécessitant l'accès au sous-système MS-DOS ne seront
plus opérationnels.

La désactivation du sous-système MS-DOS sous Microsoft Windows peut
s'effectuer par les étapes suivantes :

-   dans l'outil de configuration des stratégies de groupe, gpedit.msc ;
-   sélectionner Modèles d'administration puis Composants Windows et
    enfin Compatibilité des applications ;
-   choisir l'élément Empêcher l'accès aux applications 16-bit ;
-   cocher l'option Activer dans les propriétés de l'élément.

Ce contournement peut également être appliqué par la modification ou la
création de valeurs dans la base de registre du système :

-   avec l'éditeur de la base de registre (regedit.exe) ;

-   sélectionner la clé suivante :

        \HKEY_LOCAL_MACHINE}\SOFTWARE\Policies\Microsoft\Windows ;

-   créer la clé AppCompat si celle-ci n'existe pas ;

-   sélectionner cette nouvelle clé et créer une valeur VDMDisallowed
    avec le type DWORD ;

-   mettre à 1 la donnée de la valeur précédente ; ou encore :

-   sélectionner la clé :

        \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WOW ;

-   si la valeur DisallowedPolicyDefault n'existe pas, la créer avec le
    type DWORD ;

-   modifier la donnée de la valeur DisallowedPolicyDefault en la
    mettant à 1.

Microsoft a publié un guide pour désactiver l'accès au sous-système
MS-DOS (cf. section Documentation).

## Solution

Le bulletin de sécurité MS010-015 de Microsoft corrige le problème.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis de sécurité du CERTA CERTA-2010-AVI-073 du 10 février    2010 :

Bulletin de sécurité Microsoft MS10-015 du 09 février 2010    :

Bulletin de sécurité Microsoft #979682 du 21 janvier 2010 :

Guide de Microsoft : « Disabling the    MSDOS and WOWEXEC Subsystems on Terminal Server » :

modification de la section « Contournement provisoire » ;

ajout de la solution, ajout des liens vers le bulletin MS10-015 et vers CERTA-2010-AVI-073.

Élévation de privilèges

Summary:
Une vulnérabilité dans le sous-système MS-DOS de Microsoft Windows peut
être exploitée par un utilisateur local malintentionné afin d'élever ses
privilèges.

Vulnérabilité dans le sous-système MS-DOS de Microsoft Windows


Microsoft Windows 2000 Service Pack 4;

Microsoft Windows Server 2003 Service Pack 2.

Microsoft Windows XP Service Pack 2 et Windows XP Service Pack 3;

## Description

Une vulnérabilité due à une faiblesse structurelle du format de fichier
HLP permet à une personne malintentionnée d'exécuter du code arbitraire
à distance.

Le format HLP est le format historique utilisé pour les fichiers d'aide
dans les environnements Microsoft. Il est remplacé depuis quelques
années par le format CHM. Ce format de fichier est considéré comme non
sûr car il permet l'execution de commandes arbitraires via des macros.

L'objet de cette alerte est qu'il est possible d'ouvrir ce type de
fichiers HLP via Microsoft Internet Explorer en naviguant sur une page
Web contenant du script. En effet, la fonction VBScript MsgBox permet
l'ouverture de fichiers de type HLP, via une boîte de dialogue incitant
l'utilisateur à appuyer sur la touche F1.

Le fichier HLP sera ouvert si et seulement si l'utilisateur appuie
effectivement sur cette touche F1.

L'ouverture de ce fichier HLP permet alors l'execution de code à
distance avec les privilèges de l'utilisateur courant.

Le fichier HLP peut se trouver sur le disque local, un partage SMB ou un
serveur WEBDAV.

Il est à noter que du code d'exploitation est d'ores et déjà disponible
sur Internet.

## Contournement provisoire

En premier lieu, informer les utilisateurs de ne pas appuyer sur la
touche F1 lors de la navigation sur Internet.

Rappeler que les bonnes pratiques recommandent d'utiliser un compte
utilisateur restreint pour la navigation sur Internet.

Côté contournement technique, il est possible de bloquer l'ouverture des
fichiers HLP en modifiant les permissions de l'exécutable winhlp32.exe
(voir la section contournement de l'avis Microsoft \#981169)

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft MS10-022 du 13 avril 2010 :

Document du CERTA CERTA-2010-AVI-170 du 14 avril 2010 :

Bulletin de sécurité Microsoft #981169 du 01 mars 2010 :

Blog du MSRC Engineering du 01 mars 2010 :

version initiale.

publication du correctif.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans VBScript permet à un utilisateur malintentionné
d'exécuter du code arbitraire à distance. L'éditeur a publié un
correctif pour cette vulnérabilité

Vulnérabilité dans Microsoft VBScript

Avis Microsoft #981169 du 01 mars 2010

Avis CERTA-2010-AVI-170 du 14 avril 2010