Les versions suivantes ont été testées  par le CERTA et s'avèrent vulnérables :

Microsoft Windows 2000 Workstation SP4 ;

Microsoft Windows XP Professional, XP Professional    SP1a.

D'autres versions non testées peuvent également être  affectées.

## Description

Dans la note d'information \#322857 publiée en juin 2003, Microsoft
indique qu'une faille présente lors de l'accès à un partage de fichiers
avec un nom contenant plus de 300 caractères est corrigée dans les
derniers Services Packs.

Les tests effectués par le CERTA mettent en évidence que cette
vulnérabilité est toujours présente sur les plates-formes Microsoft
Windows 2000 et Microsoft Windows XP munies des derniers Services Packs.

En incitant un utilisateur à accéder à un serveur de fichiers partagés
habilement configuré, il est possible de forcer l'exécution de code
arbitraire à distance sur la plate-forme Windows vulnérable.

## Contournement provisoire

Dans l'attente de l'application du correctif, désactiver le client pour
les réseaux Microsoft.

A défaut, interdire l'accès aux fichiers partagés au niveau des
pare-feux (filtrage des ports 139/tcp, 139/udp et 445/tcp).

## Solution

Le service pack SP2 pour Windows XP, et le
service pack SP4 Update Rollup 1 (Windows
2000) corrigent ce problème. Se référer au site du constructeur pour
l'obtention de ces service pack (cf. section
Documentation)

Base de connaissances Microsoft #322857 :

version initiale.

Exécution de code arbitraire à distance

Déni de service

Summary:
Un utilisateur mal intentionné mettant à disposition un serveur de
fichiers malicieusement construit peut effectuer un déni de service ou
réaliser l'exécution de code arbitraire à distance sur une plate-forme
cliente vulnérable.

Vulnérabilité SMB sous Windows


Microsoft Windows 2000 ;

Microsoft Windows XP.

## Description

Le 14 avril 2004, le CERTA publiait l'avis CERTA-2004-AVI-126 (cf.
section Documentation) relatif aux multiples vulnérabilités (mise en
oeuvre du protocole PCT, faille service LSASS, etc.) présentes sur les
systèmes d'exploitation Windows.

Depuis, de nombreux codes malicieux permettant d'exploiter plusieurs de
ces vulnérabilités ont été largement diffusés et employés sur Internet.

Le 1er mai, un ver baptisé Sasser a fait son apparition. Ce ver infecte
automatiquement tout système vulnérable connecté à Internet.

Le CERTA rappelle que ces codes malicieux n'ont aucun impact lorsque les
systèmes sont mis à jour ou, à défaut, lorsque des mesures de
contournement (désactivation des services inutiles, filtrage des ports
au niveaux des pare-feux) sont appliquées.

## Solution

Appliquer au plus tôt le correctif fourni par Microsoft (cf avis MS04-11
de Microsoft).

Dans l'attente de l'application du correctif, filtrer les ports suivants
:

-   pour le protocole UDP, les ports 135, 137, 138 et 445 ;
-   pour le protocole TCP, les ports 135, 139, 445 et 593 ;
-   tout trafic entrant non sollicité.

Avis de McAfee :

Avis de Symantec :

Avis de F-secure :

avis de TrendMicro :

Bulletin de sécurité MS04-011 de Microsoft :

Avis CERTA-2004-AVI-126 du CERTA :

version initiale.

Compromission de systèmes

Summary:
Un ver permettant d'exploiter la vulnérabilité du service LSASS sur
plusieurs plates-formes Microsoft Windows a fait son apparition.

Exploitation de la vulnérabilité LSASS sous Windows : appration du ver Sasser


La vulnérabilité a été testée sur la  version 1.2 de Safari.
Il est possible que d'autres versions soient également être  vulnérables.

## Description

En incitant un utilisateur à accéder à une page habilement constituée
hébergée sur un serveur WEB, il est possible d'exécuter du code
arbitraire à distance sur une plate-forme dotée d'un navigateur
vulnérable.

Safari est le navigateur livré en standard avec le système Mac OS X
d'Apple.

Une vulnérabilité dans la gestion de l'accès aux scripts est présente
dans l'application d'aide lorsqu'elle est appellée par le navigateur
Safari au moyen de la primitive help:runscript d'un document HTML.

## Contournement provisoire

Ne pas utiliser Safari pour la visualisation de site non sûr.

## Solution

Appliquer les correctifs de l'éditeur. Se référer au bulletin de
sécurité "Security Update 2004-05-24" :

    http://docs.info.apple.com/article.html?artnum=61798

version initiale.

ajout correctif Apple et référence CVE.

Exécution de code arbitraire à distance

Vulnérabilité de Safari

Avis Secunia #11622


Microsoft Internet Explorer 6.

La vulnérabilité du composant ADODB.Stream affecte également  les versions 5.x d'Internet Explorer.

## Description

Deux vulnérabilités ont été découvertes dans le navigateur Internet
Explorer version 6 :

-   la première vulnérabilité concerne les fichiers d'aide de type CHM
    au format Microsoft ITS et permet d'accèder aux ressources locales
    de la machine cible. Cet accès s'effectue par le biais du champ
    Location de l'en-tête HTTP.
-   La deuxième vulnérabilité permet à un utilisateur mal intentionné
    d'exécuter du code avec les privilèges de la zone Machine locale.

Cette deuxième vulnérabilité permet d'exploiter une autre faille de
sécurité : celle de l'activeX ADODB.Stream. Cette vulnérabilité est
connue depuis longtemps mais avait été jugée par Microsoft comme "non
dangereuse", puisqu'il était nécessaire de contourner le mécanisme des
zones de sécurité pour l'exploiter.

Ces vulnérabilités sont actuellement exploitées via un document au
format HTML ou un site web malicieusement construit, pour exécuter du
code arbitraire sur un système vulnérable.

## Contournement provisoire

-   Désactiver l'exécution de scripts pour tous les sites web qui ne
    sont pas de confiance ;

-   désactiver la gestion du protocole ITS. Pour cela, renommer les
    clefs du registre Microsoft suivantes :

        HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Handler\ms-its
        HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Handler\its
        HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Handler\mk

    Note : on pourra renommer ces clefs de registre en ajoutant -off
    (ms-its devient ms-its-off)

-   désactiver le composant ADODB.Stream d'Internet Explorer (cf.
    section Documentation).

## Solution

Se référer au bulletin de sécurité MS04-025 de Microsoft afin d'obtenir
la liste des correctifs (cf. Documentation).

Avis de sécurité Secunia SA11793 du 08 juin 2004 :

Message de la liste de discussion Full-Disclosure :

Bulletin de sécurité Microsoft MS04-025 du 01 Août 2004 :

Avis CERTA-2004-AVI-260 du CERTA :

Fiche technique de Microsoft pour désinstaller le composant    ADODB.Stream

version initiale.

première révision : prise en compte de la vulnérabilité ADODB.Stream et ajout du lien pour la désinstallation du composant.

deuxième révision : modification des versions affectées et prise en compte de l'exploitation des vulnérabilités.

troisième révision : ajout de la section solution et des références des avis de Microsoft et du CERTA.

Accès aux ressources locales

Exécution de code arbitraire à distance

Contournement de la politique de sécurité

Summary:
Plusieurs vulnérabilités d'Internet Explorer version 6 non corrigées à
ce jour permettent à un utilisateur mal intentionné d'accèder aux
ressources locales de la machine, de contourner la politique de sécurité
et d'exécuter du code arbitraire à distance.

Vulnérabilités d'Internet Explorer

Liste de discussion Full-Disclosure


Toutes les versions du système d'exploitation Cisco IOS.

## Description

Une vulnérabilité a été découverte dans la gestion des paquets TCP des
services telnet et reverse telnet par le système d'exploitation Cisco
IOS.

Le service telnet (port 23/tcp) est utilisé pour l'administration des
équipements sous Cisco IOS.

Le service reverse telnet est utilisé pour se connecter à un équipement
tiers via une connexion telnet vers un équipement Cisco. Ce service
utilise les ports suivants :

-   2001/tcp à 2999/tcp ;
-   3001/tcp à 3099/tcp ;
-   6001/tcp à 6999 /tcp ;
-   7001/tcp à 7099/tcp.

La vulnérabilité peut être exploitée par l'envoi d'un paquet TCP
malicieusement construit à destination du port 23 ou de l'un des ports
du service reverse telnet.

Un utilisateur distant mal intentionné peut utiliser cette vulnérabilité
pour provoquer un déni de service des services d'administration telnet,
reverse telnet, RSH (port 514/tcp), SSH (port 22/tcp), SCP (port 22/tcp)
et dans certains cas HTTP (port 80/tcp).

Les autres services (routage des paquets, protocoles de routage, ...) ne
sont pas affectés. De plus, les connexions des services d'administration
établies avant une attaque restent actives après celle-ci.

## Contournement provisoire

-   Activer le service SSH et désactiver le service telnet (cf. section
    Documentation) ;
-   établir des classes d'accès sur les terminaux virtuels VTY (cf.
    section Documentation) ;
-   établir des listes de contrôles d'accès (cf. section Documentation).

## Solution

Cisco n'a pas encore publié de correctif pour cette vulnérabilité.

Etablissement des listes d'accès Infrastructure ACL:

Etablissement des listes d'accès Transit ACL:

Activation du service SSH :

Etablissement des classes d'accès sur les terminaux    virtuels VTY :

Etablissement des listes d'accès Receive ACL:

version initiale.

Déni de service

Summary:
Une vulnérabilité du service telnet (et
reverse telnet) du système d'exploitation
Cisco IOS permet à un utilisateur distant de provoquer un déni de
service.

Vulnérabilité du service Telnet de Cisco IOS

Bulletin de sécurité Cisco du 27 août 2004


Microsoft Greetings 2002 ;

Microsoft Visual Studio .NET 2002 , Microsoft Visual Studio .NET 2003 ;

Microsoft .NET Framework version 1.0 SP2, Microsoft .NET Framework version 1.1.

Internet Explorer 6 SP1 ;

Microsoft Digital Image Pro version 7.0, Microsoft Digital Image Pro version 9 ;

Microsoft Producer for Microsoft Office Powerpoint ;

Microsoft Office XP SP3, Microsoft Office 2003 ;

Microsoft Windows XP 64-Bit Edition SP1, Microsoft Windows XP 64-Bit Edition 2003 ;

Microsoft Windows XP, Microsoft Windows XP SP1 ;

Microsoft Windows server 2003, Microsoft Windows Server 2003 64-Bit Edition ;

Microsoft .NET Framework version 1.0 SDK SP2 ;

Microsoft Plateform SDK redistributable: GDI+ ;

Microsoft Digital Image Suite version 9 ;

Microsoft Visio 2002 SP2, Microsoft Visio 2003 ;

Microsoft Picture IT! 2002, Microsoft Picture IT! version 7.0, Microsoft Picture IT! version 9.0 ;

Microsoft Project 2002 SP1, Microsoft Project 2003 ;

## Description

Le CERTA a publié un avis en date du 15 septembre (CERTA-2004-AVI-312)
concernant la vulnérabilité GDI+ de Microsoft.

De nombreux programmes exploitant cette vulnérabilité (exploits) sont
actuellement disponibles sur l'Internet.

Le CERTA rappelle qu'il est indispensable d'appliquer les correctifs
concernant les vulnérabilités des systèmes pour se protéger contre
d'éventuelles attaques.

## Solution

Appliquer les correctifs proposés par l'éditeur.

Avis du CERTA CERTA-2004-AVI-312 du 15 septembre 2004 :

version initiale.

Exécution de code arbitraire à distance

Diffusion de programmes exploitant la faille GDI+


Internet Explorer 6 est vulnérable sous les différentes  versions de Microsoft Windows.

Selon les vérifications effectuées par les différents CERTs  mondiaux sur plusieurs configurations :

Internet Explorer 6 sous Microsoft Windows XP <TT>Service    Pack 1</TT> est vulnérable ;

Internet Explorer 6 sous Microsoft Windows 2000 est    vulnérable ;

Internet Explorer 6 sous Microsoft Windows XP <TT>Service    Pack 2</TT> semble ne pas être vulnérable au programme    d'exploitation « Proof of concept »    actuel. Cependant, il se pourrait qu'une future version de ce    programme affecte ce type de configuration.

Certaines application telles que <TT>Outlook, Outlook Express,  AOL, Lotus Notes</TT> qui utilisent le contrôle <TT>ActiveX</TT>  du navigateur Internet Explorer 6 pourraient être également  affectées par cette vulnérabilité.

## Description

Le logiciel de navigation Internet Explorer 6 de Microsoft présente une
vulnérabilité de type débordement de mémoire (Buffer Overflow) due à un
mauvais traitement des attributs SRC et NAME des balises \<FRAME\> et
\<IFRAME\> qui permettent aux développeurs d'insérer des cadres dans une
page HTML. Cette vulnérabilité permet à une personne mal intentionnée
d'exécuter du code arbitraire, avec les privilèges de la victime, à
l'aide d'une page HTML ou d'un courrier électronique malicieusement
constitués.

Un programme de démonstration (« Proof of concept ») exploitant cette
vulnérabilité d'Internet Explorer 6 est d'ores et déjà diffusé sur
l'Internet. Cette preuve de faisabilité concerne différentes versions du
système d'exploitation Windows.

Plusieurs éditeurs d'anti-virus ont également recensé la diffusion d'un
ver (le nom du virus diffère selon les éditeurs) exploitant cette
vulnérabilité.

## Contournement provisoire

Contournement provisoire pour Microsoft Windows :

-   désactiver Active Scripting et ActiveX dans les paramètres de
    sécurité d'Internet Explorer (cf. Documention). L'opération qui
    consiste à désactiver l'Active Scripting et l'ActiveX permet de
    rendre inefficace l'actuel programme d'exploitation « Proof of
    concept ». Il n'est pas exclu que la vulnérabilité reste
    exploitable, même si tous les scripts sont désactivés. ;
-   utiliser un autre logiciel de navigation.

Pour Microsoft Windows XP uniquement :

-   appliquer le Service Pack 2 pour Windows XP protège du « Proof of
    concept ». Cependant le Service Pack 2 pour Windows XP introduit
    quelques nouveaux mécanismes de sécurité. Toutes les applications
    n'ont pas été conçues pour tenir compte de ces mécanismes. Le
    fonctionnement de ces applications peut être altéré dans des
    proportions plus ou moins grandes. Il est donc préférable de tester
    avant de déployer à grande échelle.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. Documentation).

Bulletin d'alerte US-CERT VU#842160 :

Comment désactiver les contenus actifs sous Internet    Explorer :

Comment activer My Computer Security Zone dans les    options Internet :

Bulletin de sécurité Microsoft MS04-040 :

Some programs seem to stop working after you install    Windows XP Service Pack 2

version initiale.

Correction des liens dans la section Documentation.

Ajout de la section Solution et des références aux mises à jour de sécurité Microsoft.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité découverte dans Internet Explorer permet à un
utilisateur mal intentionné d'exécuter du code arbitraire sur le système
vulnérable.

Vulnérabilité d'Internet Explorer

Bulletin de vulnérabilité VU#842160

Bulletin de sécurité CERTA-2004-AVI-383

Bulletin de sécurtié Microsoft MS04-040

Bulletin d'alerte AusCERT AL-2004.038


Internet Explorer version 6.0 sur  Microsoft Windows SP1 et SP2.

## Description

Une vulnérabilité présente dans la focntion execScript() du composant
ActiveX DHTML Edit permet à un utilisteur mal intentionné, via un site
web malicieusement construit, de réaliser l'exécution de code ayant les
privilèges de l'utilisateur du navigateur vulnérable.

## Contournement provisoire

Désactiver le support des composants ActiveX dans le navigateur si cela
n'est pas déjà fait.

## Solution

Se référer aux solutions préconisées dans l'avis du CERTA numéro
CERTA-2005-AVI-059 :

    http://www.certa.ssi.gouv.fr/site/CERTA-2005-AVI-059/index.html

Bulletin de sécurité Secunia :

version initiale.

Exécution de code arbitraire

Summary:
Une vulnérabilité présente sur le composant ActiveX DHTML Edit permet à
un utilisateur mal intentionné d'exécuter un code arbitraire sur le
système vulnérable.

Vulnérabilité dans le composant ActiveX DHTML Edit d'Internet Explorer

Liste de diffusion Bugtraq


Tout système avec un forum <TT>phpBB</TT> en version 2.0.10 ou  antérieure.

## Description

phpBB est un outil de mise en place de forum en source ouverte
facilement configurable. Ce forum, basé sur le langage php, peut être
installé sur différents types de serveur http (Apache, IIS, ...) et peut
interagir avec plusieurs types de bases de données (MySQL, PostgreSQL,
Microsoft SQL Server, Microsoft Access, ...).

Une vulnérabilité de type « injection SQL » (voir la note d'information
CERTA-2004-INF-001) est présente dans le fichier viewtopic.php. En
insérant la séquence de caractères %2527 dans le paramètre highlight du
fichier viewtopic.php, il est possible d'exécuter du code arbitraire à
distance sur le serveur hébergeant le forum. Une exploitation visible de
cette vulnérabilité peut être la défiguration d'un site web.

Un ver nommé Santy.A se propage en exploitant cette faille. Lorsqu'il
infecte un système, il tente de remplacer les fichiers avec une
extension en .htm, .php, .asp, .shtm, .jsp et .phtm afin de réaliser la
défiguration du site. Il se copie dans un fichier nommé m1ho2of. Le ver
peut ensuite se propager si l'interpréteur perl est installé.

La tentative d'exploitation de cette vulnérabilité laisse des traces
significatives dans les journaux, notamment le fragment highlight=%2527.

## Solution

Mettre à jour phpBB en version 2.0.11 :

    http://www.phpbb.com/downloads.php

Note d'information CERTA-2004-INF-001 : Sécurité des    applications Web et vulnérabilité de type « injection de    données »

Bulletin d'alerte de l'US CERT TA04-356A du 21 décembre    2004

version initiale.

Exécution de code arbitraire à distance

Exploitation massive d'une faille du forum phpBB

Alerte US CERT TA04-356A du 21 décembre 2004


Microsoft Windows XP SP1 et SP2 avec Internet Explorer 6.

## Description

Une vulnérabilité a été découverte dans le contrôle ActiveX Help
(fichier hhctrl.ocx) d'Internet Explorer.

Un utilisateur mal intentionné peut exploiter cette vulnérabilité pour
exécuter du code arbitraire sur le système vulnérable, avec les
privilèges de l'utilisateur connecté.

Des programmes exploitant cette vulnérabilité sont disponibles sur
l'Internet. Un cheval de Troie (surnommé Phel par l'éditeur Symantec)
exploitant cette vulnérabilité a également fait son apparition.

## Contournement provisoire

-   Désactiver l'Active Scripting et les ActiveX dans Internet Explorer
    ;
-   ne naviguer que sur des sites de confiance.

## Solution

Appliquer le correctif proposé par l'éditeur (cf. section
Documentation).

Avis original :

Description du cheval de Troie Phel par Symantec :

Bulletin de securité de Microsoft MS05-001 :

Avis de sécurité CERTA-2005-AVI-010 concernant cette    vulnérabilité :

version initiale.

première révision : ajout de la solution.

Exécution de code arbitraire

Summary:
Une vulnérabilité non corrigée a été découverte dans le navigateur
Internet Explorer, qui permet à un utilisateur mal intentionné
d'exécuter du code arbitraire.

Vulnérabilité d'Internet Explorer


## Description

Une vulnérabilité du service XDB FTP d'Oracle9i Database datant de 2003,
permet à un utilisateur distant mal intentionné d'exécuter du code
arbitraire.

Cette vulnérabilité est actuellement exploitée sur l'Internet.

## Contournement provisoire

Afin de diminuer les risques d'exploitation de cette vulnérabilité, il
est nécessaire de :

-   Désactiver le serveur HTTP dans l'application XML Database ;
-   désactiver le serveur FTP dans l'application XML Database ;
-   filtrer le port 2100/tcp au niveau du pare-feu.

## Solution

Appliquer sans délai les mises à jour de sécurité nécessaires.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Site Internet de l'éditeur :

Bulletin de sécurité #58 d'Oracle du 18 août 2003 :

version initiale.

Exécution de code arbitraire

Déni de service

Exploitation d'une vulnérabilité dans Oracle Database Server


Firefox version 1.0.3 et versions  antérieures.

## Description

-   La première vulnérabilité perment à un utilisateur mal intentionné
    d'exécuter du code à travers un script en javascript malicieusement
    écrit, via un site internet judicieusement construit ;
-   la deuxième vulnérabilité permet, quant à elle, à un utilisateur mal
    intentionné d'exécuter du code arbitraire avec des privilèges plus
    élevés.

Une combinaison de ces deux vulnérabilités permet à un utilisateur mal
intentionné d'éxécuter du code arbitraire à distance.

Ces vulnérabilités sont actuellement exploites sur l'Internet.

## Contournement provisoire

-   Désactiver la prise en charge des javascripts ;
-   désactiver l'installation d'extensions par des sites web.

## Solution

La version 1.0.4 corrige ces vulnérabilités.

Site Internet de l'éditeur :

Bulletin de sécurité Mozilla Foundation #2005-42 du 11 mai    2005 :

Annonce de l'éditeur du 8 mai 2005 :

version initiale.

Élévation de privilèges

Exécution de code arbitraire à distance

Summary:
Selon le site de l'éditeur dans une annonce du 8 mai 2005, deux
vulnérabilités dans Firefox permettent à un utilisateur mal intentionné
d'exécuter du code arbitraire à distance.

Multiples vulnérabilités de Firefox


## Description

MYTOB est un ver qui se propage par la messagerie (via une pièce jointe)
ou par l'exploitation d'une vulnérabilité de LSASS (voir ci-dessous la
référence). Les machines infectées se reconnaissent grâce à leurs
tentatives de connexion sur la machine irc.blackcarder.net (port
7000/TCP). Une fois connectée au serveur d'irc.blackarder.net, la
machine infectée peut recevoir l'instruction de télécharger puis
d'exécuter des fichiers arbitraires.

Par ailleurs, les machines infectées rencontrent de nombreux
dysfonctionnements tels que l'arrêt, dès leur lancement, de certains
processus (par exemple le gestionnaire des tâches, l'invite de commande
MS-DOS, ...).

## Solution

**Aspects organisationnels**
:   . Cette infection rappelle à nouveau l'impérieuse nécessité des
    mises à jour et d'autre part la nécessaire sensibilisation des
    utilisateurs sur l'ouverture trop confiante des pièces jointes.

**Aspects techniques**
:   . Pour déterminer les machines infectées sur les réseaux, l'analyse
    des journaux en amont des firewalls doit permettre de détecter les
    machines cherchant une connexion sur les ports 7000/TCP et 445/TCP.
    En cas d'infection, contactez le CERTA.

version initiale.

Dysfonctionnements du système

Exécution de code arbitraire à distance

Summary:
De nombreuses versions du virus MYTOB ont infecté un certain nombre de
machines auprès d'abonnés du CERTA.

Propagation du ver MYTOB


Internet Explorer 5.01 Service Pack 3 sur Windows 2000 Service Pack 3 ;

Internet Explorer 6 Service Pack 1 sur Windows XP 64-Bit Edition Service Pack 1 (Itanium) ;

Internet Explorer 6 sur Windows Server 2003 (systèmes Itanium), Windows Server 2003 Service Pack 1 (systèmes Itanium), Windows XP 64-Bit Edition Version 2003 (Itanium), Windows Server 2003 x64 Edition, et Windows XP Professional x64 Edition ;

Internet Explorer 6 Service Pack 1 sur Windows 2000 Service Pack 3 et Service Pack 4, et sur Windows XP Service Pack 1 ;

Internet Explorer 6 sur Windows Server 2003 et sur Windows Server 2003 Service Pack 1 ;

Internet Explorer 6 Service Pack 1 sur Windows 98, Windows 98 SE, et Windows Millenium Edition.

Internet Explorer 5.5 Service Pack 2 sur Windows Millenium Edition ;

Internet Explorer 6 sur Windows XP Service Pack 2 ;

Internet Explorer 5.01 Service Pack 4 sur Windows 2000 Service Pack 4 ;

## Description

Le composant javaprxy.dll est une interface à un débogueur de la machine
virtuelle java de Microsoft. La machine virtuelle java de Microsoft
n'est pas installée par défaut dans :

-   Windows XP Service Pack 1a et Windows XP Service Pack 2 ;
-   Windows Server 2003 et Windows Server 2003 Service Pack 1.

La présence de la machine virtuelle java de Microsoft se manifeste par
la présence du fichier javaprxy.dll et par l'existence de la commande
jview.

Un utilisateur mal intentionné peut, en incitant sa victime à visiter un
site web malicieusement constitué, exécuter du code arbitraire à
distance.

Des programmes permettant de créer automatiquement des pages web
malveillantes sont disponibles sur l'Internet.

Un correctif est disponible depuis le 7 juillet 2005 sur le site de
Microsoft.

## Contournement provisoire

-   Désactiver les ActiveX dans Internet Explorer ;
-   désactiver javaprxy.dll dans le registre à l'aide de la commande :
    regsvr32 /u javaprxy.dll (ceci a un impact sur les applications qui
    nécessitent la machine virtuelle java de Microsoft pour fonctionner)
    ;
-   ne naviguer que sur des sites de confiance.

## Solution

Appliquer les mises à jour de sécurité Microsoft \#KB903235 pour
Internet Explorer 6 pour Windows XP SP2 et Internet Explorer 6 Service
Pack 1.

Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

L'avis de sécurité MS05-037 corrige cette vulnérabilité

Bulletin de sécurité de Microsoft MS05-037 du 12 juillet    2005:

Mise à jour de sécurité pour Internet Explorer 6 Service    Pack 1 :

Mise à jour de sécurité pour Internet Explorer 6 pour    Microsoft Windows XP SP2 :

version initiale.

ajout d'une solution et ajout des références aux mises à jour de sécurité Microsoft.

prise en compte du bulletin de sécurité MS05-037

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans le composant javaprxy.dll permet l'exécution de
code arbitraire à distance.

Vulnérabilité d'Internet Explorer

Bulletin de sécurité de Microsoft 903144 du 01 juillet 2005


Microsoft Windows 2000 avec Service Pack 4 ;

Microsoft Windows XP ;

Microsoft Windows XP avec SP 1 ;

Microsoft Windows XP avec SP2 ;

Microsoft Windows XP Professional ;

Microsoft Windows XP édition Media Center (tout Service    Pack) ;

Microsoft Windows Server 2003 (tout Service Pack).

Le service vulnérable RDP (<TT>Bureau Distant</TT> ou  <TT>Remote Desktop</TT>) est activé par défaut dans Windows XP  Media Center.

## Description

Le protocole RDP (Remote Desktop Protocol) permet à un utilisateur
d'établir une session virtuelle graphique vers une autre machine. La
vulnérabilité découverte permet à un utilisateur distant mal intentionné
de provoquer un arrêt inopiné du système, par le biais d'une requête
malicieusement construite.

Plusieurs de nos correspondants ont noté depuis quelques jours une
augmentation du trafic lié au port 3389/TCP, celui qui est utilisé pour
initier une connexion RDP et donc éventuellement exploiter la
vulnérabilité. Il semble en outre que les pare-feux intégrés dans
plusieurs des systèmes d'exploitation vulnérables soient configurés par
défaut pour laisser passer le trafic lié au protocole RDP.

## Contournement provisoire

-   Filtrer les paquets à destination du port 3389/TCP en provenance de
    l'Internet ;
-   activer le filtrage du port 3389/TCP sur les pare-feux individuels ;
-   désactiver les Terminal Services ou le service Remote Desktop s'ils
    ne sont pas nécessaires ;
-   sécuriser les connexions RDP en utilisant IPsec ou une autre
    technique de réseau privé virtuel (VPN).

## Solution

Appliquer le correctif de Microsoft indiqué dans le bulletin MS05-041
(voir Documentation).

Avis CERTA-2005-AVI-304 :

Bulletin de sécurité Microsoft MS05-041 du 09 août 2005 :

version initiale.

ajout références avis Microsoft, avis CERTA et CVE. Ajout solution. Modification du résumé.

Déni de service

Summary:
Microsoft a émis un avis de sécurité concernant une vulnérabilité dans
le protocole RDP (Remote Desktop Protocol) qui peut provoquer un déni de
service.

Vulnérabilité du protocole RDP de Microsoft

Avis de sécurité 904797 de Microsoft du 16 juillet 2005


## Description

Le savoir faire pour exploiter la vulnérabilité pour laquelle un
correctif est décrit dans l'avis CERTA-2005-AVI-302 a été publié.

Ce savoir faire a été mis en œuvre sous la forme d'un ver appelé
Win32/Zotob.A par certains éditeurs d'antivirus. Il est possible que
d'autres formes d'exploitation de cette vulnérabilité apparaissent.

## Contournement provisoire

Bien que ça ne puisse pas être généralisé à toutes les exploitations
possibles de cette faille de sécurité, il se trouve que le ver
Win32/Zotob.A :

-   balaye le réseau pour y découvrir des machines vulnérables sur le
    port 445/TCP ;
-   essaye de se connecter à un serveur IRC ;
-   génère du trafic sur les ports 8080/TCP, 8888/TCP et 33333/TCP.

Une activité anormale sur ces ports peut aider l'administrateur du
réseau à découvrir les machines contaminées par le ver.

## Solution

Il est recommandé d'appliquer le correctif décrit dans l'avis
CERTA-2005-AVI-302.

description du ver Win32/Zotob.A :

description de la vulnérabilité :

version initiale.

Exécution de code arbitraire

Exploitation de la faille MS05-039

Avis de sécurité Microsoft 899588

Avis Microsoft MS05-039

Avis CERTA-2005-AVI-302


Systèmes Windows avec la bibliothèque <TT>msdds.dll</TT>  (version 7.0.9064.9112) installée.

Dans ce contexte, les logiciels affectés sont :

Internet Explorer 5.01 Service Pack 4 sur Microsoft Windows    2000 Service Pack 4 ;

Internet Explorer 6 Service Pack 1 sur Microsoft Windows    2000 Service Pack 4 ou Microsoft Windows XP Service Pack 1    ;

Internet Explorer 6 sur Microsoft Windows XP Service Pack 2    ;

Internet Explorer 6 Service Pack 1 sur Microsoft Windows XP    64-Bit Edition Service Pack 1 (Itanium) ;

Internet Explorer 6 sur Microsoft Windows Server 2003 et    Microsoft Windows Server 2003 Service Pack 1 ;

Internet Explorer 6 sur Microsoft Windows Server 2003 pour    systèmes Itanium, Microsoft Windows Server 2003 Service Pack 1    pour systèmes Itanium, Microsoft Windows XP 64-Bit Edition    Version 2003 (Itanium), Microsoft Windows Server 2003 x64    Edition et Microsoft Windows XP Professional x64 Edition ;

Internet Explorer 5.5 Service Pack 2 sur Microsoft Windows    Millenium Edition ;

Internet Explorer 6 Service Pack 1 sur Microsoft Windows    98, Microsoft Windows 98 SE et Microsoft Windows Millennium    Edition.

Les autres versions de <TT>msdds.dll</TT> peuvent être  vulnérables.

## Description

La bibliothèque msdds.dll (Microsoft DDS Library Shape Control) est un
objet COM qui fournit des formes préconstruites pour DDS Designer
Surfaces. Cet objet COM est utilisé par des composants tels que Visual
Studio Database Diagramming pour permettre de visualiser des objets de
bases de données.

Cette bibliothèque n'est pas installée par défaut. Elle peut en revanche
être installée avec certains logiciels comme Microsoft Visual Studio
.NET 2002, Microsoft Visual Studio .NET 2003, Microsoft Office
Professional 2003 ou Microsoft Office XP (liste non exhaustive). La
bibliothèque msdds.dll n'a pas été conçue pour être utilisée par
Internet Explorer, même si cela reste possible. Son usage avec Internet
Explorer n'est pas considéré comme sûr.

Une vulnérabilité dans la bibliothèque msdds.dll permettrait, via
Internet Explorer et au moyen de pages web malicieusement constituées,
d'exécuter du code arbitraire à distance.

Un outil permettant de créer des pages web afin d'exploiter cette
vulnérabilité est disponible sur l'Internet.

Il n'existe pas de correctif pour le moment.

## Contournement provisoire

-   Désactiver les contrôles ActiveX ;

-   positionner le kill bit dans la base de registre pour le CLSID
    EC444CB6-3E7E-4865-B1C3-0DE72EF39B3F afin d'empêcher l'utilisation
    de la bibliothèque msdds.dll par Internet Explorer (cette mesure
    n'aura aucun effet secondaire) ;

-   désactiver la bibliothèque msdds.dll dans le registre avec la
    commande (cette action peut provoquer des dysfonctionnements au
    niveau de certaines applications) :

    regsvr32 /u Msdds.dll

-   modifier les listes de contrôle d'accèes (ACL) du fichier msdds.dll
    avec la commande :

    `cacls %windir%\system32\Msdds.dll /d      everyone`

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (voir avis CERTA-2005-AVI-396).

Avis CERTA-2005-AVI-396 :

version initiale.

ajout de la section Solution et mise à jour de la section Documentation.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans la bibliothèque msdds.dll permettrait l'exécution
de code arbitraire à distance via Internet Explorer.

Possible vulnérabilité de la bibliothèque msdds.dll

Bulletin de sécurité Microsoft 906267 du 18 août 2005


Mozilla Thunderbird 1.0.6 et versions antérieures.

## Description

Un manque de contrôle dans l'analyse des paramètres passés à Mozilla
Thunderbird en ligne de commande permet à un utilisateur distant mal
intentionné d'exécuter du code arbitraire par le biais d'une adresse
réticulaire (URL) malicieusement construite présente dans une
application externe.

Remarque : Cette vulnérabilité n'est exploitable que sur des systèmes de
type Unix et GNU/Linux.

## Contournement provisoire

Utiliser un autre client de messagerie en attendant la publication d'une
mise à jour de sécurité.

## Solution

La version 1.0.7 de mozilla Thunderbird corrigeant cette vulnérabilité
vient d'être publiée.

Mise à jour de sécurité Mozilla Thunderbird 1.0.7 :

Bulletin de sécurité CERTA-2005-AVI-369 du 30 septembre    2005 :

Site Internet de l'éditeur :

ajout d'une solution.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Mozilla Thunderbird permet à un utilisateur
distant mal intentionné d'exécuter du code arbitraire à distance.

Vulnérabilité dans Mozilla Thunderbird

Bulletin de sécurité Mozilla MFSA2005-59 du 22 septembre 2005


Qpopper version 4.0.8 et versions  antérieures.

## Description

Qpopper est un serveur POP3.

Une vulnérabilité a été découverte dans Qpopper. Celle-ci peut être
exploitée par un utilisateur local mal intentionné afin d'exécuter des
commandes arbitraires en tant qu'administrateur.

Des codes d'exploitation ont été publiés sur l'Internet.

## Contournement provisoire

N'autoriser que des utilisateurs bien identifiés à se connecter sur la
machine contenant ce serveur.

## Solution

Il n'existe pas de solution à l'heure actuelle.

Site de Qpopper :

version initiale.

Exécution de code arbitraire en local avec les droits administrateur

Élévation de privilèges

Vulnérabilité dans Qpopper

Bulletin de sécurité de SECUNIA


HelixPlayer versions 1.0.5.757 et antérieures ;

RealPlayer versions 10.0.5.756 (gold) et antérieures.

## Description

Une vulnérabilité dans la fonction d'affichage du message invalid-handle
error permet à un utilisateur distant mal intentionné d'exécuter du code
arbitraire par le biais d'un site web mettant à disposition un fichier
avec l'extension .rp ou .rt malicieusement constitué. Remarque :
L'exploitation de cette vulnérabilité n'est possible que sur les
systèmes GNU/Linux.

## Contournement provisoire

Ne pas utiliser RealPlayer ou HelixPlayer pour visionner des fichiers
d'extensions .rp ou .rt.

## Solution

Se référer aux bulletins de sécurité des éditeurs pour appliquer les
correctifs appropriés (cf. Documentation).

Bulletin de sécurité Debian DSA-826 du 29 septembre 2005 :

Mises à jour de sécurité Fedora Core 3 et Fedora Core 4    pour HelixPlayer du 27 septembre 2005 :

Bulletin de sécurité Gentoo GLSA-200510-07 du 07 octobre    2005 :

Site Internet de HelixPlayer :

Site Internet de RealPlayer :

Bulletin de sécurité RedHat RHSA-2005:788 du 27 septembre    2005 :

version initiale.

ajout d'une section Solution, des sites Internet de RealPlayer et HelixPlayer, des références aux bulletins de sécurité Fedora et RedHat RHSA-2005:788 et de la référence CVE CAN-2005-2710.

ajout des références aux bulletins de Debian et Gentoo.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans HelixPlayer et RealPlayer permet à un utilisateur
distant d'exécuter du code arbitraire.

Vulnérabilité de HelixPlayer et RealPlayer

Bulletin de sécurité Secunia SA16954 du 27 septembre 2005


Tout système utilisant <TT>Netscape</TT> version 8.0.3.3 et  antérieures.

## Description

Se référer à l'avis CERTA-2005-AVI-358 concernant Firefox (cf section
Documentation).

## Contournement provisoire

Utiliser un autre butineur.

## Solution

Installer la version 8.0.4 ou toute version postérieure.

Alertes de sécurité Netscape :

Bulletin de sécurité CERTA-2005-AVI-358 :

version initiale.

ajout section Solution.

Exécution de code arbitraire à distance

Summary:
Netscape 8.0.3.3 inclut les correctifs de sécurité uniquement jusqu'à la
version 1.0.6 de Firefox et comporte donc les failles corrigées avec la
version 1.0.7.

Vulnérabilité de Netscape 8

Liste des correctifs appliqués dans Firefox 1.0.7


Citrix Présentation Server 4.x.

Citrix Metaframe Presentation Server 3.x ;

## Description

Une vulnérabilité découverte dans la politique de filtrage basée sur la
variable client name permet à un utilisateur distant mal intentionné de
contourner la politique de sécurité. Une personne malveillante peut
s'authentifier auprès du serveur après avoir habilement modifié le
fichier launch.ica.

## Contournement provisoire

Changer la politique de sécurité de l'application Citrix de manière à ce
que l'authentification ne se fasse pas par le biais de la variable
client name.

## Solution

Ce produit n'est plus maintenu par l'éditeur. Il convient de migrer vers
une version soutenue du produit. Se référer au bulletin de sécurité de
l'éditeur pour plus d'informations (cf. section Documentation).

Site Internet de l'éditeur :

version initiale.

ajout CVE et fermeture de l'alerte.

Contournement de la politique de sécurité

Summary:
Une vulnérabilité dans certains produits Citrix permet à un utilisateur
mal intentionné de contourner la politique de sécurité.

Vulnérabilité dans Citrix Metaframe Presentation

Bulletin de sécurité Citrix #CTX107705 du 27 septembre 2005


ArcaBit ArcaVir

AVG AVG Anti-Virus

Softwin BitDefender

H+BEDV AntiVir

Norman Virus Control

Panda ActiveScan

VirusBlokAda VBA32

Computer Associates eTrust EZ Antivirus

F-Secure Anti-Virus

Computer Associates Vet Antivirus

Avast! Antivirus

Cat Computer Services Quick Heal Antivirus

Ikarus

Ukrainian Antiviral Center Ukrainian National Antivirus

Symantec Norton Antivirus

Panda Antivirus

Hacksoft TheHacker

McAfee VirusScan

Eset Software NOD32 Antivirus

Fortinet Antivirus

Kaspersky Labs (tous produits)

Sophos Anti-Virus

Clam Anti-Virus ClamAV

Dr.Web

## Description

La plupart des antivirus du marché sont vulnérables à un contournement
de politique de sécurité.

En effet, il est possible grâce à un fichier archive malicieusement
construit, de passer outre le système de filtrage de l'antivirus. Ainsi,
un virus contenu dans ce fichier archive sera acheminé vers son
destinataire sans traitement préalable par une passerelle antivirus.

Une fois arrivé sur le poste utilisateur, le fichier virus contenu dans
l'archive doit être extrait puis exécuté par l'utilisateur pour
corrompre la machine.

## Contournement provisoire

Tant que le virus n'est pas extrait de l'archive sur le poste client
cible, aucun code malveillant n'est exécuté. Il convient donc de
respecter les règles de comportement élémentaires d'utilisation de la
messagerie, rappelés ci-dessous :

-   mettre à jour son antivirus ;
-   ne pas ouvrir les mails à caractère douteux ;
-   ne jamais ouvrir les fichiers archives en cas de doute sur leur
    provenance ;
-   vérifier systématiquement le contenu extrait des archives ;
-   Dans le cadre de la défense en profondeur, privilégier
    systématiquement l'emploi d'un antivirus sur la passerelle de
    messagerie associé à un antivirus différent sur les postes de
    travail.

## Solution

Aucune solution n'a été communiquée pour l'instant par les éditeurs
d'antivirus.

Bulletin de Security Focus :

Mémento du CERTA sur les virus : CERTA-2005-MEM-001

version initiale.

Contournement du système de filtrage de l'antivirus

Summary:
Une vulnérabilité dans le traitement des archives affecte la
quasi-totalité des antivirus du marché. Ainsi, les antivirus ne peuvent
repérer un virus inséré dans une archive malicieusement construite.

Vulnérabilité d'un grand nombre d'antivirus

Bulletin de "Security Focus"


Microsoft Windows XP SP1 ;

Microsoft Windows 2000 SP4.

## Description

RPC est un protocole client/serveur utilisé pour le déploiement
d'applications réparties. La mise en œuvre de ce protocole sous Windows
est dérivée de celui de l'OSF (Open Software Foundation).

Une vulnérabilité dans la mise en œuvre des RPC (Remote Procedure Call)
sous Windows permet à un utilisateur mal intentionné ayant accès à un
compte sur la machine de réaliser un déni de service à distance sur la
machine vulnérable.

## Solution

Fin du support par l'éditeur, migrer vers une version maintenue.

Avis de sécurité Microsoft 911052 :

Site Internet de Microsoft :

version initiale.

Déni de service

Summary:
Une vulnérabilité a été découverte sur Microsoft Windows RPC et peut
être utilisée pour réaliser un déni de service.

Vulnérabilité de Microsoft Windows RPC

Bulletin de sécurité Microsoft 911052


Microsoft Internet Explorer 5.5 ;

Mozilla Suite et Mozilla Firefox (déni de service possible, dépend de la plate-forme).

Microsoft Internet Explorer 6.x ;

## Description

Une vulnérabilité critique non corrigée est présente dans Microsoft
Internet Explorer.
La vulnérabilité concerne une mauvaise gestion de la fonction Javascript
window() dans un appel à la fonction onload.
Cette vulnérabilité permet à un utilisateur mal intentionné, par
l'intermédiaire d'un page malicieusement construite, de réaliser un déni
de service ou d'exécuter du code arbitraire à distance.

## Solution

Se référer au bulletin de sécurité Microsoft MS05-054 pour l'obtention
du correctif (cf. Documentation).

## Contournement provisoire

-   Désactiver le Active Scripting. Pour cela, dans l'onglet Sécurité
    des options de Microsoft Internet Explorer, cliquer sur le bouton
    Personnaliser le niveau..., puis dans la section Script et Active
    Scripting, cocher Désactiver ;
-   utiliser un navigateur alternatif (voir la section Systèmes affectés
    pour les navigateurs) ;
-   ne naviguer que sur des sites Internet de confiance.

Site Internet de Internet Explorer :

Bulletin de sécurité de Computerterrorism CT21-11-2005 du    21 novembre 2005 :

Bulletin de sécurité du CERTA CERTA-2005-AVI-489 du 14    décembre 2005 :

Comment désactiver les contenus actifs sous Internet    Explorer :

Bulletin de sécurité Microsoft #911302 du 21 novembre 2005    :

Bulletin de sécurité Microsoft MS05-054 du 13 décembre 2005    :

Bulletin de sécurité de l'US-CERT VU#887861 du 21 novembre    2005 :

version initiale.

ajout de la référence au bulletin de sécurité Microsoft, de la référence au bulletin de sécurité US-CERT, précision sur la désactivation de l'Active Scripting et précision sur les navigateurs affectés.

ajout de la référence au bulletin de sécurité Microsoft MS05-054 et au bulletin de sécurité du CERTA CERTA-2005-AVI-489.

Exécution de code arbitraire à distance

Déni de service

Summary:
Une vulnérabilité non corrigée dans Microsoft Internet Explorer permet à
un utilisateur mal intentionné de réaliser un déni de service ou
d'exécuter du code arbitraire à distance sur la plate-forme vulnérable.

Vulnérabilité de Microsoft Internet Explorer


## Description

Une vulnérabilité a été découverte dans Firefox 1.5. Cette vulnérabilité
est due à une mauvaise gestion des données du fichier history.dat, qui
peut être utilisée afin de conduire une attaque de type débordement de
mémoire.

Une exploitation réussie se traduit par une déni de service.

Un code d'exploitation pour cette vulnérabilité circule sur l'Internet,
et aucune mise à jour n'est disponible.

## Contournement provisoire

Supprimer le fichier history.dat en fixant la non conservation de
l'historique (historique à 0 dans l'onglet vie privée des préférences).

## Solution

Aucune mise à jour n'est disponible à l'heure actuelle.

version initiale.

Déni de service

Summary:
Une vulnérabilité non corrigée a été découverte dans la version 1.5 du
navigateur Firefox.

Vulnérabilité du navigateur Firefox

Bulletin du SANS du 08 décembre 2005


Microsoft Windows XP Professional x64 Edition ;

Microsoft Windows Server 2003 & Server 2003 Service Pack 1 ;

Microsoft Windows Server 2003 x64 Edition ;

Microsoft Windows Server 2003 & Server 2003 Service Pack 1 pour systèmes Itanium ;

Microsoft Windows XP Service Pack 1 & 2 ;

Microsoft Windows Millennium Edition.

Microsoft Windows 98 et 98 Second Edition ;

Microsoft Windows 2000 Service Pack 4 ;

## Description

Il apparaît que la vulnérabilité décrite dans le bulletin de sécurité du
CERTA (cf. CERTA-2005-AVI-445) n'a été que partiellement ou
incomplètement corrigée par le bulletin de sécurité Microsoft MS05-053
du 08 novembre 2005.

Cette vulnérabilité peut être exploitée au moyen d'un fichier wmf
(Windows MetaFile) malicieusement construit. Un individu malveillant
peut, au moyen d'un message électronique comprenant un tel fichier ou
d'un site web malicieusement contruit, exécuter du code arbitraire à
distance, sur un système mis à jour, lors de l'ouverture du fichier.

Un fichier wmf malicieusement contruit permet également de réaliser un
déni de service sur de nombreuses autres fonctionnalités de Microsoft,
notamment sur le processus explorer.exe lors de la prévisualisation d'un
fichier wmf dans l'explorateur de fichiers.

Il est à noter (cf. chapitre 5.2) que cette vulnérabilité concerne
toutes les applications qui utilisent le moteur de rendu graphique de
Microsoft. Le code d'exploitation ne se limite donc pas aux seules
applications Microsoft comme Internet Explorer ou encore un client de
messagerie comme Outlook mais concerne aussi par exemple Google Desktop.

## Contournement provisoire

Les contournements provisoires cités en paragraphes
5.2 et 5.3 nécessitent les privilèges administrateur pour être appliqués
sur le système.

NB : le contournement provisoire cité en paragraphe 5.2 donne l'illusion
de fonctionner sans les privilèges administrateur, du fait que
l'utilisateur est informé du bon déroulement de la désactivation du
composant shimgvw.dll. Cependant le composant vulnérable reste actif et
par conséquent le système reste vulnérable.

## 5.1 Interdiction du composant shimgvw.dll dans la politique de sécurité

Le contournement provisoire suivant ne peut s'appliquer que dans le cas
où vous disposez d'un ou plusieurs systèmes Microsoft Windows 2003
Server en tant que contrôleur de domaine.

Dans ce cas, vous pouvez appliquer une politique de sécurité interdisant
l'utilisation du composant shimgvw.dll pour toute votre unité
organisationnelle.

## 5.2 Désactivation du composant shimgvw.dll

Il apparaît que les applications faisant appel au composant shimgvw.dll
de Microsoft Windows deviendraient vulnérables. Parmi les applications
vulnérables, nous pouvons citer par exemple Mozilla Firefox, Google
Desktop.

C'est pour cela que le CERTA propose un contournement provisoire plus
radical que celui proposé au chapitre 5.2 en désactivant le composant
shimgvw.dll. Cependant cela pourrait avoir des effets de bords sur des
applications métiers utilisant cette dll.

Les composants de Microsoft Windows affectées par ce contournement
provisoire seront au minimum :

-   GDI+ File Thumbnail Extractor Windows Picture and Fax Viewer ;
-   HTML Thumbnail Extractor Windows Picture and Fax Viewer ;
-   Shell Image Data Factory Windows Picture and Fax Viewer ;
-   Shell Image Property Handler Windows Picture and Fax Viewer ;
-   Shell Image Verbs Windows Picture and Fax Viewer ;
-   Summary Info Thumbnail Handler (DOCFILE) Windows Picture and Fax
    Viewer ;

Procédures à suivre :

-   Afin de désactiver le composant shimgvw.dll de Microsoft Windows :
    -   Cliquez sur "Démarrer" puis sur "exécuter" ;
    -   tapez "regsvr32.exe -u shimgvw.dll" puis "Entrée.
-   Afin de réactiver (lorsque le correctif sera disponible) le
    composant shimgvw.dll de Microsoft Windows :
    -   Cliquez sur "Démarrer" puis sur "exécuter" ;
    -   tapez "regsvr32.exe shimgvw.dll" puis "Entrée".

Si vous ne disposez pas du fichier regsvr32.exe, il peut être téléchargé
à partir du site de Microsoft, à l'adresse suivante :

    http://support.microsoft.com/kb/q267279/

## 5.3 Contournement provisoire pour Internet Explorer

Afin de limiter l'impact d'un fichier wmf malveillant sur le système :

-   bloquer l'exécution après téléchargement de fichier ayant
    l'extension wmf ;

    1.  cliquez sur "Démarrer" puis sur "Poste de travail" ;
    2.  dans le menu "Outils" cliquez sur "Options des dossiers" ;
    3.  dans l'onglet "Types de fichiers", sélectionnez dans la liste
        WMF ;
    4.  dans l'encadré "Détails concernant l'extension 'WMF'", cliquez
        sur "Avancé" ;
    5.  cochez l'option "Confirmer l'ouverture après le téléchargement"
        puis acceptez les modifications.

    Le contournement cité ci-dessus prévient le téléchargement et
    l'exécution automatique du fichier malveillant, toutefois
    l'utilisateur peut télécharger et exécuter manuellement le fichier
    et provoquer ainsi la compromission de son système.

## 5.4 Rappels de principes généraux

-   Afficher les messages en texte brut dans votre client de messagerie
    conformément à la note de recommandation CERTA-2000-REC-001 (cf.
    Section Documentation) ;
-   en complément, la règle générale de mise à jour régulière des
    anti-virus est bien entendu à respecter dans ce cas là ;
-   mémento du CERTA sur les virus (cf. section Documentation) ;
-   Note d'information du CERTA sur le SPAM (cf. Documentation).

## Solution

Appliquer le correctif tel qu'indiqué dans le bulletin de sécurité
Microsoft MS06-001 (voir section Documentation).

Mémento du CERTA sur les virus du 24 juin 2005 :

Bulletin de sécurité Microsoft MS06-001 du 05 janvier 2006    :

Bulletin de sécurité CERTA-2005-AVI-445 du 09 novembre 2005    :

Note de recommandation CERTA-2000-REC-001 du 16 mai 2000 :

ajout d'un contournement provisoire.

ajout de la référence au bulletin de sécurité de Microsoft.

ajout d'un contournement provisoire.

ajout des caractéristiques de certains mails de spam.

mise à jour de la section Solution, ajout de la référence vers le bulletin de sécurité MS06-001 de Microsoft.

Exécution de code arbitraire à distance

Déni de service

Summary:
Un code malveillant, d'ores et déjà utilisé sur l'Internet, exploite une
vulnérabilité mal corrigée dans Microsoft Windows et permet à un
utilisateur mal intentionné d'exécuter du code arbitraire à distance.

Ce code permet de télécharger et d'exécuter un autre code malveillant à
l'insu de l'utilisateur. Selon certains éditeurs d'anti-virus, le second
code téléchargé serait un cheval de Troie.

Il apparaît que des messages électroniques non sollicités (spam)
commencent à se propager en incitant à aller sur un site contenant des
pages malicieusement construite et exploitant la vulnérabilité ou encore
des messages avec une image véhiculant le code d'exploitation
(\`\`exploit''). Ces messages peuvent avoir par exemple pour
caractéristiques:

-   sujet : \`\`happy new year'';
-   corps du texte : \`\`picture of 2006'';
-   une pièce jointe contenant le code d'exploitation :
    \`\`HappyNewYear.jpg''.

Si cette image en pièce jointe est ouverte le code s'exécute et va
chercher à télécharger un code malveillant qui peut être un cheval de
Troie par exemple.

Exploitation d'une vulnérabilité mal corrigée dans Microsoft Windows

Bulletin de sécurité Microsoft #912840 du 28 décembre 2005


Apple Mac OS X version 10.4.5 et  versions antérieures.

## Description

Une vulnérabilité est présente lors de l'ouverture de certains fichiers
sous Mac OS X. Cette vulnérabilité associée à la fonctionnalité
d'ouverture des pièce jointes après le téléchargement sur le navigateur
Safari et sur le client de messagerie Mail peut être exploitée par un
utilisateur mal intentionné pour exécuter du code arbitraire à distance.

Deux exemples d'exploitation de cette vulnérabilité sont déjà utilisés :

-   Un utilisateur mal intentionné peut exploiter cette vulnérabilité
    par le biais d'un message ayant un fichier joint de type MIME
    malicieusement construit envoyé à un destinataire utilisant le
    client de messagerie Mail d'Apple ;
-   un fichier malicieusement construit placé dans une archive
    compressée au format ZIP récupérée par Safari est un autre moyen
    d'exploiter la vulnérabilité.

## Contournement provisoire

Dans l'attente d'un correctif, pour les deux modes d'exploitation cités
dans le paragraphe description, il est recommandé aux utilisateurs
d'appliquer l'un des contournements provisoires :

-   Désactiver la fonction Open safe files after downloading dans la
    section préférences «Général» du navigateur Safari et du client de
    messagerie Mail ;
-   Utiliser un navigateur et client de messagerie alternatifs.

## Solution

La vulnérabilité a été corrigée, pour plus de détail voir le bulletin de
sécurité CERTA-2006-AVI-096

Bulletin de sécurité du SANS :

Bulletin de sécurité CERTA-2006-AVI-096 du 02 mars 2006 :

Bulletin de sécurité Apple du 02 mars 2006 :

version initiale.

ajout de la référence à la mise à jour de sécurité Apple.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité présente dans le traitement de certains fichiers peut
être utilisée par un utilisateur mal intentionné pour exécuter du code
arbitraire sur le système.

Vulnérabilité dans le traitement de certains fichiers sous MAC OS X


## Description

Deux vulnérabilités non-corrigées sont présentes dans Internet Explorer
:

-   la première vulnérabilité est due à une erreur dans le traitement de
    certains attributs de balises html et permet à un utilisateur
    distant mal intentionné de provoquer un déni de service par le biais
    d'une page web construite de façon malveillante ;
-   La deuxième vulnérabilité est due à une erreur dans la fonction
    createTextRange() utilisée dans les Active Scripts pour Internet
    Explorer. Cette vulnérabilité permettrait à un utilisateur distant
    de provoquer un déni de service ou d'exécuter du code arbitraire par
    le biais d'une page web dédiée.

Il existe du code malveillant disponible sur l'Internet exploitant au
moins la première vulnérabilité.

## Contournement provisoire

## 5.1 Contournement appliquable aux deux vulnérabilités

Les deux vulnérabilités concernent des composants de Internet Explorer.
Il donc est nécessaire d'utiliser un navigateur alternatif comme Firefox
ou Opera.

## 5.2 Contournement appliquable à la deuxième vulnérabilité (createTextRange())

Cette vulnérabilité est présente dans une fonction utilisée par les
Active Scripts. Il est donc possible de désactiver la mise en œuvre des
Active Scripts dans Internet Explorer. Pour cela, dans l'onglet Sécurité
des options de Internet Explorer, cliquer sur le bouton Personnaliser le
niveau...; puis dans la section Script et Active Scripting, cocher
Désactiver.

## Solution

Appliquer le correctif tel qu'indiqué dans le bulletin de sécurité
Microsoft MS06-013 et détaillé dans l'avis du CERTA CERTA-2006-AVI-150
(cf. section Documentation).

Site Internet de Internet Explorer :

Avis du CERTA CERTA-2006-AVI-150 :

version initiale.

prise en compte du bulletin de sécurité Microsoft MS06-013.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Deux vulnérabilités ont été découvertes dans Internet Explorer
permettant de provoquer un déni de service et d'exécuter du code
arbitraire à distance.

Multiples vulnérabilités dans Microsoft Internet Explorer

Bulletin de sécurité Microsoft MS06-013 du 11 avril 2006


Pour la branche 8.12.x, Sendmail version 8.12.11 et versions antérieures ;

pour la branche 8.13.x, Sendmail version 8.13.5 et versions antérieures.

## Description

Sendmail est un logiciel de routage de messages électroniques (Mail
Transport Agent ou MTA).
Une vulnérabilité dans la gestion de messages asynchrones par le
logiciel Sendmail permet à un utilisateur distant mal intentionné
d'exécuter du code arbitraire à distance sur la machine vulnérable.

## Solution

Mettre à jour Sendmail en version 8.13.6. En plus de ce problème de
sécurité, Sendmail version 8.13.6 corrige d'autres problèmes de sécurité
et d'autres faiblesses dans le code. Sendmail 8.13.6 peut se télécharger
à l'adresse suivante :

    http://www.sendmail.org/8.13.6.html

Si la mise à jour de Sendmail en version 8.13.6 n'est paspossible,
appliquer les correctifs pour Sendmail 8.12.11 et 8.13.5.Les correctifs
sont disponibles aux adresses suivantes :

    ftp://ftp.sendmail.org/pub/sendmail/8.12.11.p0

    ftp://ftp.sendmail.org/pub/sendmail/8.13.5.p0

Dans tous les cas, se référer au bulletin de sécurité del'éditeur pour
l'obtention des correctifs (cf. sectionDocumentation).

Alerte de sécurité de l'US-CERT TA06-081A et VU#834865 du    22 mars 2006 :

Mises à jour de sécurité pour Fedora du 22 mars 2006 :

Bulletin de sécurité Gentoo GLSA-200603-21 du 22 mars 2006    :

Bulletin de sécurité ISS du 22 mars 2006 :

Bulletin de sécurité Slackware SSA:2006-081-01 du 22 mars    2003 :

Bulletin de sécurité IBM AIX du 23 mars 2006 :

Bulletin de sécurité RedHat RHSA-2006:0264 du 22 mars 2006    :

Site Internet de Sendmail :

Bulletin de sécurité Debian DSA-1015 du 23 mars 2006 :

Bulletin de sécurité Mandriva MDKSA-2006:058 du 22 mars    2006 :

Bulletin de sécurité Sendmail du 22 mars 2006 :

Bulletin de sécurité RedHat RHSA-2006:0265 du 22 mars 2006    :

Bulletin de sécurité Sun Alerte #102262 du 22 mars 2006 :

Page Internet de la version 8.13.6 de Sendmail :

Bulletin de sécurité FreeBSD SA-06:13.sendmail du 22 mars    2006 :

Bulletin de sécurité SUSE SuSE-SA:2006:017 du 22 mars 2006    :

Bulletin de sécurité CERTA-2006-AVI-124 du jeudi 23 mars    2006 :

version initiale.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans le logiciel de messagerie Sendmail permet à un
utilisateur distant mal intentionné d'exécuter du code arbitraire à
distance. Le fort déploiement de Sendmail combiné à la gravité de la
faille a conduit le CERTA à augmenter le niveau de vigilence au niveau
d'alerte, en plus de l'avis CERTA-2006-AVI-124 publié la jeudi 23 mars
2006.
L'objectif de cette alerte est de sensibiliser les
utilisateurs à la nécessité d'appliquer les correctifs en fonction des
systèmes concernés.

Vulnérabilité de Sendmail

Bulletin de sécurité du CERTA CERTA-2006-AVI-124 du 23 mars 2006


Apple Mac OS X 10.3.x.

Apple Mac OS X 10.4.x ;

## Description

Ces vulnérabilités affectent de nombreuses applications sous Mac OS X.

Le CERTA a testé ces codes de démonstration sur différentes
plates-formes et versions Mac OS X.

L'exécution de ces codes de démonstration permet de provoquer un déni de
service sur les applications vulnérables ou, potentiellement, d'exécuter
du code arbitraire à distance.

La publication des détails techniques ainsi que la parution de codes de
démonstration exploitant ces vulnérabilités sur l'Internet traduisent
qu'une exploitation à des fins malveillantes est à craindre dans un
avenir proche.

Détails des vulnérabilités :

-   une vulnérabilité de type débordement de mémoire présente dans la
    fonction BOMStackPop peut être exploitée au moyen d'une archive zip
    créée de manière malveillante afin de provoquer un déni de service
    ou, potentiellement, d'exécuter du code arbitraire sur le système
    vulnérable ;
-   plusieurs vulnérabilités dans Safari permettent à un individu de
    provoquer un déni de service à distance ou, potentiellement,
    d'exécuter du code arbitraire à distance au moyen d'un site web
    conçu de façon mal intentionnée ;
-   une vulnérabilité de type débordement de mémoire dans la fonction
    ReadBMP() peut être exploitée au moyen d'un fichier bmp conçu de
    manière malveillante ;
-   une vulnérabilité de type débordement de mémoire dans la fonction
    CFAllocatorAllocate() peut être exploitée au moyen d'un fichier gif
    conçu de manière malveillante ;
-   deux vulnérabilités de type débordement de mémoire dans les
    fonctions \_cg_TIFFSetField() et
    PredictorVSetField() peuvent être exploitées au moyen d'un fichier
    tiff conçu de manière malveillante.

## Contournement provisoire

En attendant la publication des mises à jour de sécurité par Apple, il
est recommandé :

-   d'utiliser d'un navigateur Internet alternatif comme Firefox ou
    Opera ;
-   de désactiver dans les options du navigateur le chargement des
    images ;
-   de mettre en quarantaine les archives au format zip de source
    non-sure ;
-   de porter une vigilance accrue sur les postes affectés.

## Solution

Des mises à jour sont disponibles sur le site de l'éditeur (cf. section
documentation)

Multiples bulletins de sécurité Security Protocols du 19    avril 2006 :

Bulletin de sécurité du CERTA du 12 mai 2006 :

Bulletin de sécurité Apple du 12 mai 2006 :

version initiale.

ajout des références au bulletin de sécurité Apple et au bulletin de sécurité du CERTA.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
De nombreuses vulnérabilités affectant le système d'exploitation Mac OS
X d'Apple viennent d'être publiées sur l'Internet avec des codes de
démonstration de faisabilité (Proof of Concept).

Multiples vulnérabilités sous Mac OS X d'Apple


## Description

Une vulnérabilité a été découverte dans la gestion des appels JavaScript
par la fonction contentWindows.focus().

L'exploitation de cette vulnérabilité conduit à un déni de service.

Aucun correctif n'a été publié à ce jour par l'éditeur.

## Contournement provisoire

Désactiver l'interprétation du code JavaScript.

## Solution

La version 1.5.0.3 corrige la vulnérabilité

Se référer au bulletin de sécurité de l'éditeur pour l'obtention de la
nouvelle version (cf. section Documentation).

Bulletin de mise à jour de Mozilla du 02 Mai 2006 :

Bulletin de remontée d'erreur de Mozilla :

version initiale.

ajout de la référence au bulletin de sécurité Mozilla.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité non corrigée a été découverte dans Mozilla Firefox
1.5.0.2.

Vulnérabilité dans Firefox

Rapport d'erreur de Mozilla


Microsoft Word 2000.

Microsoft Word 2002 ;

Microsoft Word 2003 ;

## Description

Une vulnérabilité de nature pour le moment inconnue dans Microsoft Word
permettrait à un utilisateur distant mal intentionné d'exécuter du code
arbitraire à distance sur les versions 2002 et 2003 de Microsoft Word ou
de provoquer un déni de service sur la version 2000. Cette vulnérabilité
fait l'objet d'une utilisation par du code malveillant sur l'Internet.
Elle est exploitable par le biais d'un fichier doc construit de façon
particulière.

## Contournement provisoire

## 5.1 Utiliser un logiciel alternatif

Il semblerait que le visualiseur de documents Word de Microsoft ne soit
pas affecté par cette vulnérabilité. Il est donc possible de l'utiliser
pour une simple consultation. Cependant il convient plutôt d'utiliser un
traitement de texte alternatif comme Abiword ou celui de OpenOffice.org.

## 5.2 Mettre à jour la base de signatures d'antivirus

Certains éditeurs d'antivirus proposent déjà des mises à jours de
signatures prenant en compte le code malveillant sous sa forme actuelle.
Il est cependant probable que des variantes apparaissent afin de
contourner ces antivirus.

## 5.3 N'ouvrir que les documents provenant de sources de confiance

A la reception d'un document au format doc soit par le biais de la
messagerie électronique ou sur tout autre support, il est nécessaire de
s'assurer de la provenance de ce fichier et de ne l'ouvrir que si la
source est de confiance.

## Solution

Appliquer le correctif de l'éditeur (Cf. section documentation)

Bulletin de sécurité de l'US-CERT du 19 mai 2006 :

Site du Microsoft Security Response Center :

Bulletin de sécurité de Microsoft du 13 juin 2006:

version initiale.

ajout du correctif de Microsoft

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité non corrigée dans Microsoft Word permettrait à un
utilisateur distant mal intentionné d'exécuter du code arbitraire ou de
provoquer un déni de service.

Vulnérabilité dans Microsoft Word

Bulletin du SANS du 19 mai 2006


Microsoft Excel version X pour Mac.

Microsoft Excel 2002 Service Pack 3 ;

Microsoft Excel 2004 pour Mac ;

Microsoft Excel 2003 Service Pack 1 ;

Microsoft Excel Viewer 2003 ;

Microsoft Office 2000 ;

Microsoft Office XP ;

Microsoft Office 2003 ;

Microsoft Excel 2000 Service Pack 3 ;

Microsoft Excel 2003 Service Pack 2 ;

## Description

Une vulnérabilité de nature pour le moment inconnue dans Microsoft Excel
permettrait à un utilisateur mal intentionné d'exécuter du code
arbitraire ou de provoquer un déni de service. Cette vulnérabilité
ferait l'objet d'une utilisation par du code malveillant véhiculé via du
pourriel ( « spam » ) sur l'Internet. Elle est exploitable par le biais
d'un fichier xls construit de façon particulière. Cependant, l'attaque
ne peut aboutir que si l'utilisateur décide d'ouvrir le fichier Excel.

## Contournements provisoires

## 5.1 N'ouvrir que les documents provenant de sources de confiance

A la réception d'un document au format xls via la messagerie
électronique ou par tout autre support (URL, clef USB, disquette,
etc...), il est nécessaire de s'assurer de la provenance de ce fichier
et de ne l'ouvrir que si la source est de confiance.

## 5.2 Utiliser un logiciel alternatif

Il est possible d'utiliser un tableur alternatif non affecté par la
vulnérabilité comme Gnumeric ou celui de OpenOffice.org.

## 5.3 Contournement spécifique à Excel 2003

Microsoft Excel doit passer en mode «Repair» pour mettre en œuvre la
vulnérabilité. Aussi, dans l'attente d'un correctif, il est recommandé
de désactiver cette fonctionnalité de mode « Repair » en modifiant des
clefs de la base de registres. Il est cependant important de noter
qu'une erreur de modification dans la base de registres peut entraîner
des dysfonctionnements voir la nécessité de réinstaller la machine.

### sous windows 2000 :

-   cliquer sur Démarrer puis Exécuter. taper regedt32 et cliquer sur ok
    ;
-   éditer la clef
    `HKEY_CURRENT_USER\Software\Microsoft\Office\11.0\Excel\Resiliency`
    (si cette clef n'existe pas, la créer) ;
-   cliquer sur Editer puis permissions ;
-   cliquer afin de décocher la case Allow Inheritable Permissions from
    the parent to propagate to this object. cliquer alors sur Supprimer
    puis OK ;
-   un message d'avertissement apparaît alors, cliquer sur Oui.

### sous windows XP Service Pack 1 et suivant :

-   cliquer sur Démarrer puis Exécuter. taper regedt32 et cliquer sur ok
    ;
-   éditer la clef
    `HKEY_CURRENT_USER\Software\Microsoft\Office\11.0\Excel\Resiliency`
    (si cette clef n'existe pas, la créer) ;
-   cliquer sur Editer puis permissions ;
-   cliquer afin de décocher la case Inherit from the parent the
    permission entries that apply to child objects. Include these with
    entries explicitly defined here. cliquer alors sur Supprimer puis OK
    ;
-   un message d'avertissement apparaît alors, cliquer sur Oui.

NB: Le mode « Repair » de Microsoft Excel a
pour fonction de récupérer les documents Excel endommagés. En appliquant
ce contournement provisoire, il sera impossible d'utiliser cette
fonctionnalité de récupération.

## Solution

Se référer au bulletin de sécurité de l'éditeur et à l'avis de sécurité
du CERTA pour l'obtention du correctif.

Bulletin de sécurité Microsoft MS06-037 du 11 juillet 2006    :

Avis de sécurité du CERTA du 12 juillet 2006 :

Bulletin du SANS du 16 juin 2006 :

version initiale ;

ajout du contournement provisoir pour Windows 2003, ajout des versions Mac et du Viewer, ajout de la référence CVE.

ajout des références aux bulletins de sécurité Microsoft et CERTA.

Exécution de code arbitraire

Déni de service

Summary:
Une vulnérabilité non corrigée dans Microsoft Excel permettrait à un
utilisateur mal intentionné de faire exécuter du code arbitraire ou de
provoquer un déni de service sur la machine d'un utilisateur ouvrant un
fichier au format xls.

Vulnérabilité dans Microsoft Excel

Article sur le site du Microsoft Security Response Center


Les versions d'<TT>ExtCalendar</TT> antérieures ou égales à  2.0.

## Description

ExtCalendar est une application permettant de gérer un calendrier. Elle
se présente comme un composant, qui peut être installé en association
avec des CMS (pour Content Management Systems) de type Joomla! ou Mambo.
Une vulnérabilité a été identifiée dans celle-ci. Elle ne vérifie pas
correctement la variable
mosConfig_absolute_path. Un utilisateur malveillant peut profiter de
cette propriété pour injecter du code arbitraire à distance.

Cette vulnérabilité est actuellement exploitée.

## Solution

Ce produit n'est plus suivi par le CERTA.

Site du projet ExtCalendar :

version initiale.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité d'ExtCalendar permet à un
utilisateur malveillant d'injecter du code arbitraire à distance.

Vulnérabilité d'ExtCalendar


Microsoft Powerpoint dans Microsoft Office XP ;

Microsoft Powerpoint 2002 dans Microsoft Office 2003 ;

Microsoft Powerpoint 2003 dans 0ffice 2000 ;

Microsoft Powerpoint dans Office 2004 pour MacOS.

Microsoft Office concerne une suite d'applications, incluant  Excel, FrontPage, Outlook, Powerpoint, Publisher et Word.

La visionneuse de documents Powerpoint (<TT>Microsoft  Powerpoint Viewer</TT>) ne serait pas affectée par cette  vulnérabilité.

## Description

Les fonctions mso (Microsoft Office) sont des fonctions spéciales
disponibles dans la librairie mso.dll d'Office. Elles s'occupent par
exemple des affichages de bulles, des barres de menu, des boîtes de
dialogue, etc. Ces fonctions sont appelées par plusieurs applications de
Microsoft Office, notamment Word ou Powerpoint.

Une vulnérabilité a été identifiée dans la librairie mso.dll. Elle fait
l'objet d'une utilisation par du code malveillant sur l'Internet. Elle
est exploitée par le biais d'un document Powerpoint.

Powerpoint serait également impacté par deux autres vulnérabilités.
Cette information n'est pas confirmée pour le moment.

## Contournement provisoire

## 5.1 Utiliser les visionneuses Office dans la mesure du possible

La visionneuse de documents Powerpoint ne serait pas affectée par les
vulnérabilités précédentes.

## 5.2 Mettre à jour la base de signatures d'antivirus

Certains éditeurs d'antivirus proposent déjà des mises à jour de
signatures prenant en compte le code malveillant sous sa forme actuelle.
Il est cependant probable que des variantes apparaissent afin de
contourner ces signatures.

## 5.3 Filter les pièces jointes au niveau de la passerelle de la messagerie

Les passerelles de messagerie offrent le plus souvent la possibilité de
filtrer les documents en pièce jointe. Dans les cas les plus simples,
elles se basent sur l'extension du nom du fichier. Dans la mesure du
possible, il est conseillé de filtrer les extensions .ppt venant de
domaines externes.

## 5.4 Ouvrir les documents provenant de sources de confiance

A la réception d'un document Office (au format .ppt compte tenu du code
malveillant actuel), soit par le biais de la messagerie électronique ou
sur tout autre support, il est nécessaire de s'assurer de la provenance
de ce fichier et de ne l'ouvrir que si la source est de confiance.

## Solution

Appliquer le correctif MS06-048 de l'éditeur Microsoft (Cf. section
documentation).

Téléchargement de la visionneuse Microsoft Powerpoint :

Bulletin de sécurité Microsoft MS06-048 du 08 août 2006 :

Avis CERTA CERTA-2006-AVI-346 du 09 août 2006 :

Memento du CERTA sur les virus informatiques :

version initiale.

ajout de références.

ajout du correctif MS06-048 de Microsoft et de l'avis CERTA-2006-AVI-346.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité non corrigée dans une librairie de Microsoft Office
permettrait à un utilisateur mal intentionné d'exécuter du code
arbitraire ou de provoquer un déni de service à distance. Un code en
circulation exploite cette vulnérabilité par le biais de documents
Powerpoint.

Vulnérabilité de la librairie MSO.DLL dans Microsoft Office


Internet Explorer 6 SP1 sur Windows 2000 SP4 avec le correctif référencé par le bulletin MS06-042 ;

Internet Explorer 6 SP1 sur Windows XP SP1 avec le correctif référencé par le bulletin MS06-042.

## Description

Dans le précédent bulletin d'actualité CERTA-2006-ACT-033 publié le 18
août, nous indiquions la possibilité de réaliser un déni de service sur
Internet Explorer corrigé par le correctif référencé dans le bulletin
MS06-042. Microsoft annonçait la mise à disposition d'un nouveau
correctif le 22 août.

Hier, mardi 22 août, Microsoft a publié le bulletin de sécurité 923762
dans lequel l'éditeur annonce un report dans l'arrivée du correctif dû à
des problèmes dans le déploiement. De plus, il apparaît que la
vulnérabilité est exploitable et que des codes d'exploitations sont
utilisés sur Internet.

## Contournements provisoires

Dans l'attente du correctif, nous vous recommandons :

-   de passer à la version SP2 sur Windows XP ;
-   d'empêcher le navigateur de spécifier dans l'entête HTTP le champ
    Accept-Encoding (gzip, deflate, compress, etc), au moyen d'un proxy
    web sur la machine utilisateur, ou d'une passerelle proxy au niveau
    du réseau.

## Solution

Mircosoft à mis à jour le correctif référencé par le bulletin de
sécurité MS06-042 et recommande aux utilisateurs d'appliquer ce
correctif.

Mise à jour du bulletin de sécurité CERTA-2006-AVI-340 du    25 août 2006 :

Bulletin de sécurité Microsoft MS06-042 du 09 août 2006 :

Bulletin de sécurité 923762 de Microsoft du 22 août 2006 :

Bulletin d'actualité CERTA-2006-ACT-033 du 18 août 2006 :

Blog MSRC de Microsoft :

version initiale.

correction dans les coutournements provisoires.

modification du correctif référencé par l'avis Microsoft.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité présente sur Internet Explorer peut être exploitée par
un utilisateur mal intentionné, via une page html malveillante, pour
réaliser un déni de service ou exécuter du code arbitraire sur un
système où se trouve le produit vulnérable.

Vulnérabilité dans Internet Explorer

Bulletin de sécurité Microsoft 923762


Works versions 8.0 et 8.5 ;

Suite bureautique Mac Office versions v.X et 2004 ;

Suite bureautique Microsoft Office versions 2000SP3, 2002SP2, 2002SP3, 2003SP1, 2003SP2 ;

Internet Explorer et famille Outlook.

Wordpad toutes versions ;

## Description

-   Un grand nombre de vulnérabilités révélées publiquement affectent la
    gamme Office. Ces vulnérabilités peuvent être exploitées par le
    biais de documents malicieusement contruits dont l'ouverture peut
    provoquer l'exécution de commandes dans le contexte utilisateur.
-   Plusieurs autres vulnérabilités ont été découvertes dans des
    versions d'Internet Explorer. Ces vulnérabilités permettent à un
    attaquant de compromettre le navigateur, directement ou par le biais
    d'une dll vulnérable (vgx.dll). Cette bibliothèque est utilisée pour
    prendre en compte le format VML (Vector Markup Vector Language). Ce
    format fondé sur le langage XML est utilisé pour éditer certaines
    images. Deux vecteurs d'attaques sont possibles :
    -   via une page HTML spécifiquement conçue pour exploiter la faille
        d'Internet Explorer ;
    -   via des messages électroniques qui seraient lus à l'aide des
        clients de la famille d'Outlook avec prise en compte du langage
        HTML. Des messages malicieux se propagent déja sur l'Internet.
-   Comme cela a été déja souligné à de nombreuses reprises par le
    CERTA, il est fortement recommandé de désactiver par défaut les
    options ActiveX et les scripts en général en choisissant
    éventuellement leur activation pour les sites de confiance
    nécessitant l'usage de tels composants ou programmes.

Un bulletin de sécurité Microsoft annonce officiellement une
vulnérabilité dans MS Office Word 2000. Une référence CVE est associée à
cette vulnérabilité, qui est exploitée actuellement par du code
malveillant.

## Contournement provisoire

**Suite bureautique MS-Office**
:   N'ouvrir que les documents bureautiques de confiance, et utiliser
    une suite bureautique alternative à jour (OpenOffice, par exemple).

**Internet Explorer 1**
:   Utiliser un navigateur alternatif à jour (Mozilla, Firefox, Opéra,
    etc...)

**Internet Explorer 2**
:   Désactiver les options ActiveX, les scripts (cf. bulletin
    d'actualité du CERTA)

**Internet Explorer 3 et Outlook**
:   Désactiver la bibliothèque vgx.dll :
    <div markdown="1" align="center">

    <span
    class="small">`regsvr32.exe        "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"        -u`</span>

    </div>

Une mise à jour de sécurité, publiée par Microsoft, est désormais
disponible. Elle permet de corriger une des vulnérabilités citées dans
ce bulletin d'alerte, en l'occurence celle présente dans la bibliothèque
vgx.dll. Un bulletin de sécurité du CERTA reprend cette vulnérabilité
ainsi que la solution associée.

Se référer à l'avis du CERTA référencé CERTA-2006-AVI-410 du 27
septembre 2006 diponible à l'adresse suivante :

    http://www.certa.ssi.gouv.fr/site/CERTA-2006-AVI-410/index.html

## Solution

Se référer aux bulletins de sécurité de l'éditeur pour obtenir les mises
à jour (cf. Documentation).

Bulletin de sécurité Microsoft 925444 :

Bulletin de mise à jour Microsoft MS06-055 :

Avis du CERTA numeros CERTA-2006-AVI-410,    CERTA-2006-AVI-438, CERTA-2006-AVI-439, CERTA-2006-AVI-440,    CERTA-2006-AVI-442 :

Bulletin de mise à jour Microsoft MS06-058 :

Bulletin d'actualité (N°27)du CERTA :

Bulletin d'actualité (N°30)du CERTA :

Bulletin de mise à jour Microsoft MS06-059 :

Bulletin de sécurité Microsoft 925568 :

Bulletin d'actualité (N°37)du CERTA :

Bulletin de sécurité Microsoft 925059 :

Bulletin de mise à jour Microsoft MS06-060 :

Bulletin de mise à jour Microsoft MS06-062 :

Version initiale.

Diffusion de code.

Rappels sur les ActiveX.

Ajouts références Microsoft et CVE.

Ajout diffusion via la messagerie.

Ajout de la référence à l'avis CERTA référencé CERTA-2006-AVI-410.

Ajout de la solution et mise en forme.

Exécution de code arbitraire à distance

Déni de service

Summary:
De multiples vulnérabilités affectent certains produits de l'éditeur
Microsoft. Ces vulnérabilités peuvent être exploitées par un utilisateur
mal intentionné afin de provoquer un déni de service ou une exécution de
code arbitraire à distance sur la machine cible. Des codes malveillants
exploitant certaines de ces vulnérabilités sont disponibles sur
l'Internet.

Multiples vulnérabilités de produits Microsoft


Microsoft PowerPoint 2003 ;

Microsoft PowerPoint XP.

## Description

Une vulnérabilité a été découverte sur le logiciel Microsoft PowerPoint
versions 2003 et XP. Aucune mise à jour n'est disponible pour celle-ci.

Un code d'exploitation provoquant un déni de service (arrêt inopiné) du
logiciel est disponible sur l'Internet. Ce code d'exploitation a été
validée sur PowerPoint XP. L'impact réel (outre le déni de service) de
cette vulnérabilité n'est pas encore connu.

Aucune précision n'est disponible pour le moment quant à l'extension de
cette vulnérabilité aux autres versions de Microsoft PowerPoint.

## Contournement provisoire

N'ouvrir que les documents bureautiques de confiance, et utiliser une
suite bureautique alternative à jour (OpenOffice, par exemple).

## Solution

Microsoft a corrigé cette vulnérabilité dans le service pack 3 de Office
2003. La vulnérabilité n'est toujours pas corrigée pour PowerPoint XP.
Toutefois, l'éditeur affirme que cette faille ne permet pas d'exécuter
du code arbitraire. Cette vulnérabilité ne justifiant donc plus le même
niveau de vigilance, le CERTA a décidé de réévaluer l'alerte.

Bloc-notes du MSRC (Microsoft Security Response Center) :

version initiale.

ajout du correctif pour PowerPoint 2003 et réévaluation de l'alerte.

Exécution de code arbitraire

Déni de service

Summary: Une vulnérabilité a été découverte sur le logiciel Microsoft PowerPoint.

Vulnérabilité de Microsoft PowerPoint

Note du MSRC (Microsoft Security Response Center) du 12 octobre 2006


Apple Macintosh OS X

## Description

Plusieurs vulnérabilités ont été identifiées, en relation avec le format
DMG sous Apple MacOS X. Parmi celles-ci :

-   le mauvais traitement des fichiers corrompus d'image disque (format
    DMG) par la fonction com.apple.AppleDiskImageController peut
    provoquer un déni de service ;
-   Apple Finder ne manipulerait pas correctement des fichiers d'image
    dont le nom de volume dépasse 255 octets ;
-   le système de fichiers UFS aurait plusieurs fonctions vulnérables à
    des attaques de type débordement d'entiers (ou integer overflow) :
    ffs_mountfs() et byte_swap_sbin() ;
-   l'appel à la fonction ufs_dirbad() par ufs_lookup() pourrait
    provoquer, sous certaines conditions, un déni de service du système
    vulnérable ;
-   une image DMG contenant un système de fichiers UFS+ et construite de
    manière particulière pourrait provoquer un dysfonctionnement du
    système vulnérable, suite à l'appel à la fonction do_hfs_truncate().

Des codes exploitant ces vulnérabilités circulent sur Internet.

## Contournement provisoire

-   N'autoriser l'accès au système vulnérable qu'aux personnes de
    confiance ;
-   limiter le téléchargement de fichiers DMG et en vérifier l'intégrité
    avant installation ;
-   désactiver l'option de Safari : Ouvrir automatiquement les fichiers
    « fiables » et les options équivalentes des autres navigateurs.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Référence CVE CVE-2006-5482 :

Référence CVE CVE-2006-5679 :

Référence CVE CVE-2007-0197 :

Bulletin de sécurité Secunia du 21 novembre 2006 :

Référence CVE CVE-2007-0267 :

Référence CVE CVE-2007-0299 :

Mise à jour de sécurité Apple 2007-002 du 15 février 2007 :

version initiale.

ajout de nouvelles vulnérabilités et références.

ajout de la mise à jour Apple.

Déni de service à distance

Élévation de privilèges

Summary:
Une mauvaise gestion des fichiers d'image disque (format DMG) permet à
un utilisateur d'obtenir des privilèges élevés et de compromettre
l'ordinateur à l'aide d'un fichier corrompu.

Vulnérabilité de MacOS X

Avis Secunia SA23012


Microsoft Word 2000 ;

Microsoft Word 2002 ;

Microsoft Word 2003 ;

Microsoft Word Viewer 2003 ;

Microsoft Word 2004 pour Mac ;

Microsoft Word 2004 v. X pour Mac ;

Microsoft Works 2004, 2005 et 2006 ;

OpenOffice versions 2.x et antérieurs.

D'autres applications pourraient être affectées par ces  vulnérabilités.

## Description

## 4.1 Alerte du 18 décembre 2006

Trois vulnérabilités ont été découvertes dans Microsoft Word et
affectent également OpenOffice. Un utilisateur malintentionné peut, en
incitant sa victime à ouvrir un document au format Word (par exemple par
l'intermédiaire d'un message électronique ou d'un site web), provoquer
l'exécution de code arbitraire à distance avec les privilèges de
l'utilisateur.

Deux codes malveillants exploitent actuellement ces vulnérabilités et
sont détectés par certains antivirus (à jour) sous les noms :
Troj/DwnLdr-FXG, Troj/DwnLdr-FXH, TROJ_TINY_DU,
Trojan_Downloader.Win32.Cryptic.ec, Trojan_Downloader.Win32.Cryptic.f,
etc.

Il n'existe pas de correctif officiel pour le moment.

## 4.2 Mise à jour du 26 janvier 2007

Le 26 janvier 2007, Symantec fait état d'un code malveillant exploitant
une nouvelle vulnérabilité non corrigée présente dans Microsoft Word
2000 (cf. section Documentation). Ce code malveillant circule sur
Internet sous forme de document Word. Il est identifié par Symantec sous
le nom : Trojan.Mdropper.W.

Comme les précédente vulnérabilités, il n'existe à ce jour pas de
correctif officiel.

## Contournement provisoire

## 5.1 Utiliser un format de document alternatif

Le CERTA recommande l'utilisation d'un format de document alternatif tel
que le RTF.

## 5.2 Utiliser un logiciel alternatif

Le CERTA recommande d'utiliser un outil de visualisation des documents
au format Word alternatif à jour (WordPad ou AbiWord).

## 5.3 Mettre à jour la base de signatures d'antivirus

Certains éditeurs d'antivirus proposent déjà des mises à jours de
signatures prenant en compte les codes malveillants sous sa forme
actuelle. Il est cependant probable que des variantes apparaissent afin
de contourner ces antivirus.

## 5.4 Filtrer les pièces jointes au niveau des passerelles

Dans la mesure du possible, il est recommandé de filtrer les fichiers au
format Word (extension .doc) au niveau des passerelles (messagerie, web
...).

## 5.5 N'ouvrir que les documents provenant de sources de confiance

A la reception d'un document au format doc soit par le biais de la
messagerie électronique ou sur tout autre support, il est nécessaire de
s'assurer de la provenance de ce fichier et de ne l'ouvrir que si la
source est de confiance et après analyse par un antivirus à jour.

## 5.6 Limiter l'impact en utilisant un compte utilisateur sans privilège

L'utilisation de compte n'ayant pas de droits d'administration permet de
limiter l'infection au contexte de l'utilisateur.

## Solution

Appliquer les mises à jours de l'éditeur (cf. Documentation);

Avis du CERTA numero CERTA-2007-AVI-083 du 14 février 2007:

Bulletins de mise à jour Microsoft MS07-014 et MS07-015 du    13 février 2007 :

Annonce du bloc-note de Symantec du 26 janvier 2007 :

Annonce sur le bloc-notes Microsoft de la seconde    vulnérabilité, le 10 décembre 2006 :

Bulletin de sécurité Microsoft 932114 du 26 janvier 2007 :

version initiale.

modifications liées à l'annonce d'une nouvelle vulnérabilité annoncée par Microsoft.

modifications liées à l'annonce d'une nouvelle vulnérabilité, ajout des références CVE.

modifications liées à l'affectation d'OpenOffice.

annonce d'une nouvelle vulnérabilité par Symantec.

ajout des références aux bulletins de sécurité Microsoft et CVE.

ajout du correctif.

Exécution de code arbitraire à distance

Summary:
Des vulnérabilités liées aux documents de format Word permettent
l'exécution de code arbitraire à distance.

Vulnérabilités dans Microsoft Word

Bulletin de sécurité Microsoft 929433


Apple Quicktime versions 7.1.3 et  antérieures.

## Description

Un manque de contrôle sur les liens ou URL de type rtsp:// permet à un
utilisateur distant mal intentionné de provoquer un déni de service ou
d'exécuter du code arbitraire dans le contexte de l'utilisateur de
l'application QuickTime vulnérable. L'exploitation de la vulnérabilité
peut se faire par le biais d'un lien rtsp:// directement ou bien par le
biais d'un fichier .qtl construit de façon particulière.

## Contournement provisoire

## 5.1 Sous Microsoft Windows :

-   Désactiver la prise en charge des liens rtsp:// dans Quicktime en
    décochant la case
    Préférences de Quicktime -\> Types de fichiers -\> Diffusion -\>
    Descripteur de flux RTSP ;
-   supprimer l'association de Quicktime avec les fichiers .qtl en
    supprimant la clef de registre :
    `HKEY_CLASSES_ROOT\.qtl`.

## 5.2 Sous Apple MacOS X :

-   Désactiver la prise en charge des liens rtsp:// dans QuickTime en
    décochant la case
    Préférences de Quicktime -\> Avancé -\> Réglages MIME -\> Diffusion
    -\> Descripteur de flux RTSP ;
-   ne pas ouvrir les fichiers de type .qtl dans la mesure ou il n'y a
    pas de moyen simple d'enlever l'association de ces fichiers avec
    QuickTime, il convient de ne pas ouvrir les fichiers .qtl avec
    QuickTime.

## Solution

Appliquer le correctif 2007-001 fourni par Apple le 23 janvier 2007.

Mise à jour de sécurité Apple 2007-001 du 23 janvier 2007 :

version initiale.

ajout de la mise à jour Apple.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Apple Quicktime permet à un utilisateur distant
de provoquer un déni de service ou d'exécuter du code arbitraire.

Vulnérablité dans Apple Quicktime

Annonce du "Month of Apple Bugs" MOAB-01-01-2007


Microsoft Windows XP Service Pack 2 ;

Microsoft Windows XP Professional x64 Edition.

Microsoft Windows 2000 Service Pack 4 ;

## Description

Une vulnérabilité de type débordement de mémoire dans Windows permet de
provoquer un déni de service de toute application essayant de visualiser
un fichier wmf. Il existe d'ores et déjà du code permettant
l'exploitation de cette faille et causant un déni de service sur toute
application utilisant les composants de Windows qui permettent la
visualisation des fichiers au format WMF.
Le CERTA n'a pour le moment pas connaissance d'eventuel code permettant
l'exécution de code arbitraire à distance mais cette éventualité est
envisageable.

03 avril 2007 :

Microsoft publie le bulletin de sécurité MS07-017 qui propose un
correctif pour cette vulnérabilité. Ce bulletin est mentionné dans
l'avis CERTA-2007-AVI-156.

## Contournement provisoire

La vulnérabilité touchant probablement les mêmes composants que ceux
décrits dans l'alerte CERTA-2005-ALE-019, les contournements y étant
détaillés sont applicables dans le cas présent :

NB : le contournement provisoire cité en paragraphe 5.2 donne l'illusion
de fonctionner sans les privilèges administrateur, du fait que
l'utilisateur est informé du bon déroulement de la désactivation du
composant shimgvw.dll. Cependant le composant vulnérable reste actif et
par conséquent le système reste vulnérable.

## 5.1 Interdiction du composant shimgvw.dll dans la politique de sécurité

Le contournement provisoire suivant ne peut s'appliquer que dans le cas
où vous disposez d'un ou plusieurs systèmes Microsoft Windows 2003
Server en tant que contrôleur de domaine.

Dans ce cas, vous pouvez appliquer une politique de sécurité interdisant
l'utilisation du composant shimgvw.dll pour toute votre unité
organisationnelle.

## 5.2 Désactivation du composant shimgvw.dll

Il apparaît que les applications faisant appel au composant shimgvw.dll
de Microsoft Windows deviendraient vulnérables. Parmi les applications
vulnérables, nous pouvons citer par exemple Mozilla Firefox, Google
Desktop.

C'est pour cela que le CERTA propose un contournement provisoire plus
radical que celui proposé au chapitre 5.2 en désactivant le composant
shimgvw.dll. Cependant cela pourrait avoir des effets de bords sur des
applications métiers utilisant cette dll.

Les composants de Microsoft Windows affectées par ce contournement
provisoire seront au minimum :

-   GDI+ File Thumbnail Extractor Windows Picture and Fax Viewer ;
-   HTML Thumbnail Extractor Windows Picture and Fax Viewer ;
-   Shell Image Data Factory Windows Picture and Fax Viewer ;
-   Shell Image Property Handler Windows Picture and Fax Viewer ;
-   Shell Image Verbs Windows Picture and Fax Viewer ;
-   Summary Info Thumbnail Handler (DOCFILE) Windows Picture and Fax
    Viewer ;

Procédures à suivre :

-   Afin de désactiver le composant shimgvw.dll de Microsoft Windows :
    -   Cliquez sur "Démarrer" puis sur "exécuter" ;
    -   tapez "regsvr32.exe -u shimgvw.dll" puis "Entrée.
-   Afin de réactiver (lorsque le correctif sera disponible) le
    composant shimgvw.dll de Microsoft Windows :
    -   Cliquez sur "Démarrer" puis sur "exécuter" ;
    -   tapez "regsvr32.exe shimgvw.dll" puis "Entrée".

Si vous ne disposez pas du fichier regsvr32.exe, il peut être téléchargé
à partir du site de Microsoft, à l'adresse suivante :

    http://support.microsoft.com/kb/q267279/

## 5.3 Contournement provisoire pour Internet Explorer

Afin de limiter l'impact d'un fichier wmf malveillant sur le système :

-   bloquer l'exécution après téléchargement de fichier ayant
    l'extension wmf ;

    1.  cliquez sur "Démarrer" puis sur "Poste de travail" ;
    2.  dans le menu "Outils" cliquez sur "Options des dossiers" ;
    3.  dans l'onglet "Types de fichiers", sélectionnez dans la liste
        WMF ;
    4.  dans l'encadré "Détails concernant l'extension 'WMF'", cliquez
        sur "Avancé" ;
    5.  cochez l'option "Confirmer l'ouverture après le téléchargement"
        puis acceptez les modifications.

    Le contournement cité ci-dessus prévient le téléchargement et
    l'exécution automatique du fichier malveillant, toutefois
    l'utilisateur peut télécharger et exécuter manuellement le fichier
    et provoquer ainsi la compromission de son système.

## 5.4 Rappels de principes généraux

-   Afficher les messages en texte brut dans votre client de messagerie
    conformément à la note de recommandation CERTA-2000-REC-001 (cf.
    Section Documentation) ;
-   en complément, la règle générale de mise à jour régulière des
    anti-virus est bien entendu à respecter dans ce cas là ;
-   mémento du CERTA sur les virus (cf. section Documentation) ;
-   Note d'information du CERTA sur le SPAM (cf. Documentation).

## Solution

Se reporter au bulletin de sécurité Microsoft MS07-017 pour
l'application des correctifs.

Avis CERTA-2007-AVI-156 du 03 avril 2007 :

Bulletin de sécurité Microsoft MS07-017 du 03 avril 2007 :

version initiale.

ajout de la référence au bulletin de sécurité Microsoft MS07-017.

Déni de service à distance

Summary:
Une vulnérabilité non corrigée présente dans Windows permet à un
utilisateur distant de provoquer un déni de service sur une application
vulnérable.

Vulnérabilité dans Windows


## Description

Un courriel électronique est actuellement diffusé sur l'Internet.

Dans sa configuration actuelle, il se présente comme un message
provenant de `AdminSNCF@sncf-voyages.com`, avec pour titre : « Urgent :
Vérification de vos données ».

Le corps du message ressemble à s'y méprendre à un courrier authentique
de la SNCF, avec le logo et un texte en français. Ce dernier, sous un
faux prétexte ironique ("vol de votre identité pour acheter sur un site
Internet"), exige avec beaucoup de sérieux ("information chiffrée et
protégée avec le meilleur logiciel de chiffrement dans l'industrie"), à
la victime de fournir ses coordonnées bancaires, des données
personnelles (adresse, date de naissance, numéro de téléphone), et un
mot de passe.

Le lien affiché dans le corps du message ressemble à celui de la SNCF :
http://www.sncf-voyages.com mais dirige la victime vers un site factice
(imitation d'un site officiel de la SNCF).

## Solution

## 4.1 Origine du problème

Les courriers électroniques, tout comme les lettres postales, sont un
moyen de communication aisé pour transmettre de l'information.
Cependant, le processus standard pour les transmettre n'offre pas, sans
service complémentaire, certaines garanties. Pour les lettres postales,
l'expéditeur n'est pas vérifié, et l'entête du courrier (adresses,
téléphone, dates) peut être falsifié. Il en va de même pour la
messagerie électronique.

Ces problèmes sont à la source des attaques de filoutage (ou phishing),
ou servent à conduire les utilisateurs vers des pages Web malveillantes.

## 4.2 Recommandations

Comment réagir pour ne pas se faire voler d'informations ?

Il n'est pas aisé de déterminer si un courriel a été envoyé à des fins
malveillantes. Quelques bons réflexes permettent cependant, malgré la
difficulté d'estimer le risque, de limiter les impacts d'une telle
attaque :

-   être circonspect quand l'expéditeur ou le destinataire affiché est
    inconnu, ou quand le style ou la syntaxe sont approximatifs ;
-   être vigilant lorsqu'un courriel demande des actions urgentes,
    propose de l'argent facile ou des produits peu chers ;
-   éviter de fournir de l'information sur le site Internet qui
    s'affiche après un clic dans un courriel, en remplissant par exemple
    un formulaire ou en renseignant un mot de passe ;
-   faites appel à un correspondant informatique ou de sécurité s'il y a
    le moindre doute sur la nature d'u n courriel reçu ou sur une page
    Internet visitée suite au clic depuis un courriel.

Quelques mesures plus techniques :

-   vérifier pour tout échange de coordonnées confidentielles que le mot
    https figure devant l'adresse du site dans la barre du navigateur
    et/ou un cadenas existe dans la barre d'état (bas droit de l'écran)
    ;
-   taper directement dans le navigateur Internet l'adresse indiquée par
    le courrier électronique, sans cliquer dessus, et après l'avoir
    vérifiée. En effet le lien qui s'affiche à l'écran n'est pas
    nécessairement la véritable adresse Internet cible ;
-   configurer le client de messagerie pour lire tous les courriers
    électroniques au format texte ;
-   configurer le navigateur Internet pour qu'il n'interprète pas les
    ActiveX, Java et le Javascript par défaut ;
-   consulter le code source du courrier électronique pour vérifier les
    adresses incluses dans les liens HTML.

Note CERTA-2000-INF-002, « Mesures de prévention relatives    à la messagerie » :

Note CERTA-2005-INF-004, « Limiter l'impact du      SPAM » :

version initiale.

Atteinte à la confidentialité des données

Summary:
Un courriel électronique est actuellement diffusé sur l'Internet, et
comporte un lien vers un site de filoutage, ou phishing. Il permettrait
à une personne malveillante de voler des données personnelles, des
identifiants de connexion et des coordonnées bancaires.

Filoutage contre le site voyages-sncf.com