ArcaBit ArcaVir

AVG AVG Anti-Virus

Softwin BitDefender

H+BEDV AntiVir

Norman Virus Control

Panda ActiveScan

VirusBlokAda VBA32

Computer Associates eTrust EZ Antivirus

F-Secure Anti-Virus

Computer Associates Vet Antivirus

Avast! Antivirus

Cat Computer Services Quick Heal Antivirus

Ikarus

Ukrainian Antiviral Center Ukrainian National Antivirus

Symantec Norton Antivirus

Panda Antivirus

Hacksoft TheHacker

McAfee VirusScan

Eset Software NOD32 Antivirus

Fortinet Antivirus

Kaspersky Labs (tous produits)

Sophos Anti-Virus

Clam Anti-Virus ClamAV

Dr.Web

## Description

La plupart des antivirus du marché sont vulnérables à un contournement
de politique de sécurité.

En effet, il est possible grâce à un fichier archive malicieusement
construit, de passer outre le système de filtrage de l'antivirus. Ainsi,
un virus contenu dans ce fichier archive sera acheminé vers son
destinataire sans traitement préalable par une passerelle antivirus.

Une fois arrivé sur le poste utilisateur, le fichier virus contenu dans
l'archive doit être extrait puis exécuté par l'utilisateur pour
corrompre la machine.

## Contournement provisoire

Tant que le virus n'est pas extrait de l'archive sur le poste client
cible, aucun code malveillant n'est exécuté. Il convient donc de
respecter les règles de comportement élémentaires d'utilisation de la
messagerie, rappelés ci-dessous :

-   mettre à jour son antivirus ;
-   ne pas ouvrir les mails à caractère douteux ;
-   ne jamais ouvrir les fichiers archives en cas de doute sur leur
    provenance ;
-   vérifier systématiquement le contenu extrait des archives ;
-   Dans le cadre de la défense en profondeur, privilégier
    systématiquement l'emploi d'un antivirus sur la passerelle de
    messagerie associé à un antivirus différent sur les postes de
    travail.

## Solution

Aucune solution n'a été communiquée pour l'instant par les éditeurs
d'antivirus.

Bulletin de Security Focus :

Mémento du CERTA sur les virus : CERTA-2005-MEM-001

version initiale.

Contournement du système de filtrage de l'antivirus

Summary:
Une vulnérabilité dans le traitement des archives affecte la
quasi-totalité des antivirus du marché. Ainsi, les antivirus ne peuvent
repérer un virus inséré dans une archive malicieusement construite.

Vulnérabilité d'un grand nombre d'antivirus

Bulletin de "Security Focus"


Microsoft Windows XP SP1 ;

Microsoft Windows 2000 SP4.

## Description

RPC est un protocole client/serveur utilisé pour le déploiement
d'applications réparties. La mise en œuvre de ce protocole sous Windows
est dérivée de celui de l'OSF (Open Software Foundation).

Une vulnérabilité dans la mise en œuvre des RPC (Remote Procedure Call)
sous Windows permet à un utilisateur mal intentionné ayant accès à un
compte sur la machine de réaliser un déni de service à distance sur la
machine vulnérable.

## Solution

Fin du support par l'éditeur, migrer vers une version maintenue.

Avis de sécurité Microsoft 911052 :

Site Internet de Microsoft :

version initiale.

Déni de service

Summary:
Une vulnérabilité a été découverte sur Microsoft Windows RPC et peut
être utilisée pour réaliser un déni de service.

Vulnérabilité de Microsoft Windows RPC

Bulletin de sécurité Microsoft 911052


Microsoft Internet Explorer 5.5 ;

Mozilla Suite et Mozilla Firefox (déni de service possible, dépend de la plate-forme).

Microsoft Internet Explorer 6.x ;

## Description

Une vulnérabilité critique non corrigée est présente dans Microsoft
Internet Explorer.
La vulnérabilité concerne une mauvaise gestion de la fonction Javascript
window() dans un appel à la fonction onload.
Cette vulnérabilité permet à un utilisateur mal intentionné, par
l'intermédiaire d'un page malicieusement construite, de réaliser un déni
de service ou d'exécuter du code arbitraire à distance.

## Solution

Se référer au bulletin de sécurité Microsoft MS05-054 pour l'obtention
du correctif (cf. Documentation).

## Contournement provisoire

-   Désactiver le Active Scripting. Pour cela, dans l'onglet Sécurité
    des options de Microsoft Internet Explorer, cliquer sur le bouton
    Personnaliser le niveau..., puis dans la section Script et Active
    Scripting, cocher Désactiver ;
-   utiliser un navigateur alternatif (voir la section Systèmes affectés
    pour les navigateurs) ;
-   ne naviguer que sur des sites Internet de confiance.

Site Internet de Internet Explorer :

Bulletin de sécurité de Computerterrorism CT21-11-2005 du    21 novembre 2005 :

Bulletin de sécurité du CERTA CERTA-2005-AVI-489 du 14    décembre 2005 :

Comment désactiver les contenus actifs sous Internet    Explorer :

Bulletin de sécurité Microsoft #911302 du 21 novembre 2005    :

Bulletin de sécurité Microsoft MS05-054 du 13 décembre 2005    :

Bulletin de sécurité de l'US-CERT VU#887861 du 21 novembre    2005 :

version initiale.

ajout de la référence au bulletin de sécurité Microsoft, de la référence au bulletin de sécurité US-CERT, précision sur la désactivation de l'Active Scripting et précision sur les navigateurs affectés.

ajout de la référence au bulletin de sécurité Microsoft MS05-054 et au bulletin de sécurité du CERTA CERTA-2005-AVI-489.

Exécution de code arbitraire à distance

Déni de service

Summary:
Une vulnérabilité non corrigée dans Microsoft Internet Explorer permet à
un utilisateur mal intentionné de réaliser un déni de service ou
d'exécuter du code arbitraire à distance sur la plate-forme vulnérable.

Vulnérabilité de Microsoft Internet Explorer


## Description

Une vulnérabilité a été découverte dans Firefox 1.5. Cette vulnérabilité
est due à une mauvaise gestion des données du fichier history.dat, qui
peut être utilisée afin de conduire une attaque de type débordement de
mémoire.

Une exploitation réussie se traduit par une déni de service.

Un code d'exploitation pour cette vulnérabilité circule sur l'Internet,
et aucune mise à jour n'est disponible.

## Contournement provisoire

Supprimer le fichier history.dat en fixant la non conservation de
l'historique (historique à 0 dans l'onglet vie privée des préférences).

## Solution

Aucune mise à jour n'est disponible à l'heure actuelle.

version initiale.

Déni de service

Summary:
Une vulnérabilité non corrigée a été découverte dans la version 1.5 du
navigateur Firefox.

Vulnérabilité du navigateur Firefox

Bulletin du SANS du 08 décembre 2005


Microsoft Windows XP Professional x64 Edition ;

Microsoft Windows Server 2003 & Server 2003 Service Pack 1 ;

Microsoft Windows Server 2003 x64 Edition ;

Microsoft Windows Server 2003 & Server 2003 Service Pack 1 pour systèmes Itanium ;

Microsoft Windows XP Service Pack 1 & 2 ;

Microsoft Windows Millennium Edition.

Microsoft Windows 98 et 98 Second Edition ;

Microsoft Windows 2000 Service Pack 4 ;

## Description

Il apparaît que la vulnérabilité décrite dans le bulletin de sécurité du
CERTA (cf. CERTA-2005-AVI-445) n'a été que partiellement ou
incomplètement corrigée par le bulletin de sécurité Microsoft MS05-053
du 08 novembre 2005.

Cette vulnérabilité peut être exploitée au moyen d'un fichier wmf
(Windows MetaFile) malicieusement construit. Un individu malveillant
peut, au moyen d'un message électronique comprenant un tel fichier ou
d'un site web malicieusement contruit, exécuter du code arbitraire à
distance, sur un système mis à jour, lors de l'ouverture du fichier.

Un fichier wmf malicieusement contruit permet également de réaliser un
déni de service sur de nombreuses autres fonctionnalités de Microsoft,
notamment sur le processus explorer.exe lors de la prévisualisation d'un
fichier wmf dans l'explorateur de fichiers.

Il est à noter (cf. chapitre 5.2) que cette vulnérabilité concerne
toutes les applications qui utilisent le moteur de rendu graphique de
Microsoft. Le code d'exploitation ne se limite donc pas aux seules
applications Microsoft comme Internet Explorer ou encore un client de
messagerie comme Outlook mais concerne aussi par exemple Google Desktop.

## Contournement provisoire

Les contournements provisoires cités en paragraphes
5.2 et 5.3 nécessitent les privilèges administrateur pour être appliqués
sur le système.

NB : le contournement provisoire cité en paragraphe 5.2 donne l'illusion
de fonctionner sans les privilèges administrateur, du fait que
l'utilisateur est informé du bon déroulement de la désactivation du
composant shimgvw.dll. Cependant le composant vulnérable reste actif et
par conséquent le système reste vulnérable.

## 5.1 Interdiction du composant shimgvw.dll dans la politique de sécurité

Le contournement provisoire suivant ne peut s'appliquer que dans le cas
où vous disposez d'un ou plusieurs systèmes Microsoft Windows 2003
Server en tant que contrôleur de domaine.

Dans ce cas, vous pouvez appliquer une politique de sécurité interdisant
l'utilisation du composant shimgvw.dll pour toute votre unité
organisationnelle.

## 5.2 Désactivation du composant shimgvw.dll

Il apparaît que les applications faisant appel au composant shimgvw.dll
de Microsoft Windows deviendraient vulnérables. Parmi les applications
vulnérables, nous pouvons citer par exemple Mozilla Firefox, Google
Desktop.

C'est pour cela que le CERTA propose un contournement provisoire plus
radical que celui proposé au chapitre 5.2 en désactivant le composant
shimgvw.dll. Cependant cela pourrait avoir des effets de bords sur des
applications métiers utilisant cette dll.

Les composants de Microsoft Windows affectées par ce contournement
provisoire seront au minimum :

-   GDI+ File Thumbnail Extractor Windows Picture and Fax Viewer ;
-   HTML Thumbnail Extractor Windows Picture and Fax Viewer ;
-   Shell Image Data Factory Windows Picture and Fax Viewer ;
-   Shell Image Property Handler Windows Picture and Fax Viewer ;
-   Shell Image Verbs Windows Picture and Fax Viewer ;
-   Summary Info Thumbnail Handler (DOCFILE) Windows Picture and Fax
    Viewer ;

Procédures à suivre :

-   Afin de désactiver le composant shimgvw.dll de Microsoft Windows :
    -   Cliquez sur "Démarrer" puis sur "exécuter" ;
    -   tapez "regsvr32.exe -u shimgvw.dll" puis "Entrée.
-   Afin de réactiver (lorsque le correctif sera disponible) le
    composant shimgvw.dll de Microsoft Windows :
    -   Cliquez sur "Démarrer" puis sur "exécuter" ;
    -   tapez "regsvr32.exe shimgvw.dll" puis "Entrée".

Si vous ne disposez pas du fichier regsvr32.exe, il peut être téléchargé
à partir du site de Microsoft, à l'adresse suivante :

    http://support.microsoft.com/kb/q267279/

## 5.3 Contournement provisoire pour Internet Explorer

Afin de limiter l'impact d'un fichier wmf malveillant sur le système :

-   bloquer l'exécution après téléchargement de fichier ayant
    l'extension wmf ;

    1.  cliquez sur "Démarrer" puis sur "Poste de travail" ;
    2.  dans le menu "Outils" cliquez sur "Options des dossiers" ;
    3.  dans l'onglet "Types de fichiers", sélectionnez dans la liste
        WMF ;
    4.  dans l'encadré "Détails concernant l'extension 'WMF'", cliquez
        sur "Avancé" ;
    5.  cochez l'option "Confirmer l'ouverture après le téléchargement"
        puis acceptez les modifications.

    Le contournement cité ci-dessus prévient le téléchargement et
    l'exécution automatique du fichier malveillant, toutefois
    l'utilisateur peut télécharger et exécuter manuellement le fichier
    et provoquer ainsi la compromission de son système.

## 5.4 Rappels de principes généraux

-   Afficher les messages en texte brut dans votre client de messagerie
    conformément à la note de recommandation CERTA-2000-REC-001 (cf.
    Section Documentation) ;
-   en complément, la règle générale de mise à jour régulière des
    anti-virus est bien entendu à respecter dans ce cas là ;
-   mémento du CERTA sur les virus (cf. section Documentation) ;
-   Note d'information du CERTA sur le SPAM (cf. Documentation).

## Solution

Appliquer le correctif tel qu'indiqué dans le bulletin de sécurité
Microsoft MS06-001 (voir section Documentation).

Mémento du CERTA sur les virus du 24 juin 2005 :

Bulletin de sécurité Microsoft MS06-001 du 05 janvier 2006    :

Bulletin de sécurité CERTA-2005-AVI-445 du 09 novembre 2005    :

Note de recommandation CERTA-2000-REC-001 du 16 mai 2000 :

ajout d'un contournement provisoire.

ajout de la référence au bulletin de sécurité de Microsoft.

ajout d'un contournement provisoire.

ajout des caractéristiques de certains mails de spam.

mise à jour de la section Solution, ajout de la référence vers le bulletin de sécurité MS06-001 de Microsoft.

Exécution de code arbitraire à distance

Déni de service

Summary:
Un code malveillant, d'ores et déjà utilisé sur l'Internet, exploite une
vulnérabilité mal corrigée dans Microsoft Windows et permet à un
utilisateur mal intentionné d'exécuter du code arbitraire à distance.

Ce code permet de télécharger et d'exécuter un autre code malveillant à
l'insu de l'utilisateur. Selon certains éditeurs d'anti-virus, le second
code téléchargé serait un cheval de Troie.

Il apparaît que des messages électroniques non sollicités (spam)
commencent à se propager en incitant à aller sur un site contenant des
pages malicieusement construite et exploitant la vulnérabilité ou encore
des messages avec une image véhiculant le code d'exploitation
(\`\`exploit''). Ces messages peuvent avoir par exemple pour
caractéristiques:

-   sujet : \`\`happy new year'';
-   corps du texte : \`\`picture of 2006'';
-   une pièce jointe contenant le code d'exploitation :
    \`\`HappyNewYear.jpg''.

Si cette image en pièce jointe est ouverte le code s'exécute et va
chercher à télécharger un code malveillant qui peut être un cheval de
Troie par exemple.

Exploitation d'une vulnérabilité mal corrigée dans Microsoft Windows

Bulletin de sécurité Microsoft #912840 du 28 décembre 2005


Apple Mac OS X version 10.4.5 et  versions antérieures.

## Description

Une vulnérabilité est présente lors de l'ouverture de certains fichiers
sous Mac OS X. Cette vulnérabilité associée à la fonctionnalité
d'ouverture des pièce jointes après le téléchargement sur le navigateur
Safari et sur le client de messagerie Mail peut être exploitée par un
utilisateur mal intentionné pour exécuter du code arbitraire à distance.

Deux exemples d'exploitation de cette vulnérabilité sont déjà utilisés :

-   Un utilisateur mal intentionné peut exploiter cette vulnérabilité
    par le biais d'un message ayant un fichier joint de type MIME
    malicieusement construit envoyé à un destinataire utilisant le
    client de messagerie Mail d'Apple ;
-   un fichier malicieusement construit placé dans une archive
    compressée au format ZIP récupérée par Safari est un autre moyen
    d'exploiter la vulnérabilité.

## Contournement provisoire

Dans l'attente d'un correctif, pour les deux modes d'exploitation cités
dans le paragraphe description, il est recommandé aux utilisateurs
d'appliquer l'un des contournements provisoires :

-   Désactiver la fonction Open safe files after downloading dans la
    section préférences «Général» du navigateur Safari et du client de
    messagerie Mail ;
-   Utiliser un navigateur et client de messagerie alternatifs.

## Solution

La vulnérabilité a été corrigée, pour plus de détail voir le bulletin de
sécurité CERTA-2006-AVI-096

Bulletin de sécurité du SANS :

Bulletin de sécurité CERTA-2006-AVI-096 du 02 mars 2006 :

Bulletin de sécurité Apple du 02 mars 2006 :

version initiale.

ajout de la référence à la mise à jour de sécurité Apple.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité présente dans le traitement de certains fichiers peut
être utilisée par un utilisateur mal intentionné pour exécuter du code
arbitraire sur le système.

Vulnérabilité dans le traitement de certains fichiers sous MAC OS X


## Description

Deux vulnérabilités non-corrigées sont présentes dans Internet Explorer
:

-   la première vulnérabilité est due à une erreur dans le traitement de
    certains attributs de balises html et permet à un utilisateur
    distant mal intentionné de provoquer un déni de service par le biais
    d'une page web construite de façon malveillante ;
-   La deuxième vulnérabilité est due à une erreur dans la fonction
    createTextRange() utilisée dans les Active Scripts pour Internet
    Explorer. Cette vulnérabilité permettrait à un utilisateur distant
    de provoquer un déni de service ou d'exécuter du code arbitraire par
    le biais d'une page web dédiée.

Il existe du code malveillant disponible sur l'Internet exploitant au
moins la première vulnérabilité.

## Contournement provisoire

## 5.1 Contournement appliquable aux deux vulnérabilités

Les deux vulnérabilités concernent des composants de Internet Explorer.
Il donc est nécessaire d'utiliser un navigateur alternatif comme Firefox
ou Opera.

## 5.2 Contournement appliquable à la deuxième vulnérabilité (createTextRange())

Cette vulnérabilité est présente dans une fonction utilisée par les
Active Scripts. Il est donc possible de désactiver la mise en œuvre des
Active Scripts dans Internet Explorer. Pour cela, dans l'onglet Sécurité
des options de Internet Explorer, cliquer sur le bouton Personnaliser le
niveau...; puis dans la section Script et Active Scripting, cocher
Désactiver.

## Solution

Appliquer le correctif tel qu'indiqué dans le bulletin de sécurité
Microsoft MS06-013 et détaillé dans l'avis du CERTA CERTA-2006-AVI-150
(cf. section Documentation).

Site Internet de Internet Explorer :

Avis du CERTA CERTA-2006-AVI-150 :

version initiale.

prise en compte du bulletin de sécurité Microsoft MS06-013.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Deux vulnérabilités ont été découvertes dans Internet Explorer
permettant de provoquer un déni de service et d'exécuter du code
arbitraire à distance.

Multiples vulnérabilités dans Microsoft Internet Explorer

Bulletin de sécurité Microsoft MS06-013 du 11 avril 2006


Pour la branche 8.12.x, Sendmail version 8.12.11 et versions antérieures ;

pour la branche 8.13.x, Sendmail version 8.13.5 et versions antérieures.

## Description

Sendmail est un logiciel de routage de messages électroniques (Mail
Transport Agent ou MTA).
Une vulnérabilité dans la gestion de messages asynchrones par le
logiciel Sendmail permet à un utilisateur distant mal intentionné
d'exécuter du code arbitraire à distance sur la machine vulnérable.

## Solution

Mettre à jour Sendmail en version 8.13.6. En plus de ce problème de
sécurité, Sendmail version 8.13.6 corrige d'autres problèmes de sécurité
et d'autres faiblesses dans le code. Sendmail 8.13.6 peut se télécharger
à l'adresse suivante :

    http://www.sendmail.org/8.13.6.html

Si la mise à jour de Sendmail en version 8.13.6 n'est paspossible,
appliquer les correctifs pour Sendmail 8.12.11 et 8.13.5.Les correctifs
sont disponibles aux adresses suivantes :

    ftp://ftp.sendmail.org/pub/sendmail/8.12.11.p0

    ftp://ftp.sendmail.org/pub/sendmail/8.13.5.p0

Dans tous les cas, se référer au bulletin de sécurité del'éditeur pour
l'obtention des correctifs (cf. sectionDocumentation).

Alerte de sécurité de l'US-CERT TA06-081A et VU#834865 du    22 mars 2006 :

Mises à jour de sécurité pour Fedora du 22 mars 2006 :

Bulletin de sécurité Gentoo GLSA-200603-21 du 22 mars 2006    :

Bulletin de sécurité ISS du 22 mars 2006 :

Bulletin de sécurité Slackware SSA:2006-081-01 du 22 mars    2003 :

Bulletin de sécurité IBM AIX du 23 mars 2006 :

Bulletin de sécurité RedHat RHSA-2006:0264 du 22 mars 2006    :

Site Internet de Sendmail :

Bulletin de sécurité Debian DSA-1015 du 23 mars 2006 :

Bulletin de sécurité Mandriva MDKSA-2006:058 du 22 mars    2006 :

Bulletin de sécurité Sendmail du 22 mars 2006 :

Bulletin de sécurité RedHat RHSA-2006:0265 du 22 mars 2006    :

Bulletin de sécurité Sun Alerte #102262 du 22 mars 2006 :

Page Internet de la version 8.13.6 de Sendmail :

Bulletin de sécurité FreeBSD SA-06:13.sendmail du 22 mars    2006 :

Bulletin de sécurité SUSE SuSE-SA:2006:017 du 22 mars 2006    :

Bulletin de sécurité CERTA-2006-AVI-124 du jeudi 23 mars    2006 :

version initiale.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans le logiciel de messagerie Sendmail permet à un
utilisateur distant mal intentionné d'exécuter du code arbitraire à
distance. Le fort déploiement de Sendmail combiné à la gravité de la
faille a conduit le CERTA à augmenter le niveau de vigilence au niveau
d'alerte, en plus de l'avis CERTA-2006-AVI-124 publié la jeudi 23 mars
2006.
L'objectif de cette alerte est de sensibiliser les
utilisateurs à la nécessité d'appliquer les correctifs en fonction des
systèmes concernés.

Vulnérabilité de Sendmail

Bulletin de sécurité du CERTA CERTA-2006-AVI-124 du 23 mars 2006


Apple Mac OS X 10.3.x.

Apple Mac OS X 10.4.x ;

## Description

Ces vulnérabilités affectent de nombreuses applications sous Mac OS X.

Le CERTA a testé ces codes de démonstration sur différentes
plates-formes et versions Mac OS X.

L'exécution de ces codes de démonstration permet de provoquer un déni de
service sur les applications vulnérables ou, potentiellement, d'exécuter
du code arbitraire à distance.

La publication des détails techniques ainsi que la parution de codes de
démonstration exploitant ces vulnérabilités sur l'Internet traduisent
qu'une exploitation à des fins malveillantes est à craindre dans un
avenir proche.

Détails des vulnérabilités :

-   une vulnérabilité de type débordement de mémoire présente dans la
    fonction BOMStackPop peut être exploitée au moyen d'une archive zip
    créée de manière malveillante afin de provoquer un déni de service
    ou, potentiellement, d'exécuter du code arbitraire sur le système
    vulnérable ;
-   plusieurs vulnérabilités dans Safari permettent à un individu de
    provoquer un déni de service à distance ou, potentiellement,
    d'exécuter du code arbitraire à distance au moyen d'un site web
    conçu de façon mal intentionnée ;
-   une vulnérabilité de type débordement de mémoire dans la fonction
    ReadBMP() peut être exploitée au moyen d'un fichier bmp conçu de
    manière malveillante ;
-   une vulnérabilité de type débordement de mémoire dans la fonction
    CFAllocatorAllocate() peut être exploitée au moyen d'un fichier gif
    conçu de manière malveillante ;
-   deux vulnérabilités de type débordement de mémoire dans les
    fonctions \_cg_TIFFSetField() et
    PredictorVSetField() peuvent être exploitées au moyen d'un fichier
    tiff conçu de manière malveillante.

## Contournement provisoire

En attendant la publication des mises à jour de sécurité par Apple, il
est recommandé :

-   d'utiliser d'un navigateur Internet alternatif comme Firefox ou
    Opera ;
-   de désactiver dans les options du navigateur le chargement des
    images ;
-   de mettre en quarantaine les archives au format zip de source
    non-sure ;
-   de porter une vigilance accrue sur les postes affectés.

## Solution

Des mises à jour sont disponibles sur le site de l'éditeur (cf. section
documentation)

Multiples bulletins de sécurité Security Protocols du 19    avril 2006 :

Bulletin de sécurité du CERTA du 12 mai 2006 :

Bulletin de sécurité Apple du 12 mai 2006 :

version initiale.

ajout des références au bulletin de sécurité Apple et au bulletin de sécurité du CERTA.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
De nombreuses vulnérabilités affectant le système d'exploitation Mac OS
X d'Apple viennent d'être publiées sur l'Internet avec des codes de
démonstration de faisabilité (Proof of Concept).

Multiples vulnérabilités sous Mac OS X d'Apple


## Description

Une vulnérabilité a été découverte dans la gestion des appels JavaScript
par la fonction contentWindows.focus().

L'exploitation de cette vulnérabilité conduit à un déni de service.

Aucun correctif n'a été publié à ce jour par l'éditeur.

## Contournement provisoire

Désactiver l'interprétation du code JavaScript.

## Solution

La version 1.5.0.3 corrige la vulnérabilité

Se référer au bulletin de sécurité de l'éditeur pour l'obtention de la
nouvelle version (cf. section Documentation).

Bulletin de mise à jour de Mozilla du 02 Mai 2006 :

Bulletin de remontée d'erreur de Mozilla :

version initiale.

ajout de la référence au bulletin de sécurité Mozilla.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité non corrigée a été découverte dans Mozilla Firefox
1.5.0.2.

Vulnérabilité dans Firefox

Rapport d'erreur de Mozilla


Microsoft Word 2000.

Microsoft Word 2002 ;

Microsoft Word 2003 ;

## Description

Une vulnérabilité de nature pour le moment inconnue dans Microsoft Word
permettrait à un utilisateur distant mal intentionné d'exécuter du code
arbitraire à distance sur les versions 2002 et 2003 de Microsoft Word ou
de provoquer un déni de service sur la version 2000. Cette vulnérabilité
fait l'objet d'une utilisation par du code malveillant sur l'Internet.
Elle est exploitable par le biais d'un fichier doc construit de façon
particulière.

## Contournement provisoire

## 5.1 Utiliser un logiciel alternatif

Il semblerait que le visualiseur de documents Word de Microsoft ne soit
pas affecté par cette vulnérabilité. Il est donc possible de l'utiliser
pour une simple consultation. Cependant il convient plutôt d'utiliser un
traitement de texte alternatif comme Abiword ou celui de OpenOffice.org.

## 5.2 Mettre à jour la base de signatures d'antivirus

Certains éditeurs d'antivirus proposent déjà des mises à jours de
signatures prenant en compte le code malveillant sous sa forme actuelle.
Il est cependant probable que des variantes apparaissent afin de
contourner ces antivirus.

## 5.3 N'ouvrir que les documents provenant de sources de confiance

A la reception d'un document au format doc soit par le biais de la
messagerie électronique ou sur tout autre support, il est nécessaire de
s'assurer de la provenance de ce fichier et de ne l'ouvrir que si la
source est de confiance.

## Solution

Appliquer le correctif de l'éditeur (Cf. section documentation)

Bulletin de sécurité de l'US-CERT du 19 mai 2006 :

Site du Microsoft Security Response Center :

Bulletin de sécurité de Microsoft du 13 juin 2006:

version initiale.

ajout du correctif de Microsoft

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité non corrigée dans Microsoft Word permettrait à un
utilisateur distant mal intentionné d'exécuter du code arbitraire ou de
provoquer un déni de service.

Vulnérabilité dans Microsoft Word

Bulletin du SANS du 19 mai 2006


Microsoft Excel version X pour Mac.

Microsoft Excel 2002 Service Pack 3 ;

Microsoft Excel 2004 pour Mac ;

Microsoft Excel 2003 Service Pack 1 ;

Microsoft Excel Viewer 2003 ;

Microsoft Office 2000 ;

Microsoft Office XP ;

Microsoft Office 2003 ;

Microsoft Excel 2000 Service Pack 3 ;

Microsoft Excel 2003 Service Pack 2 ;

## Description

Une vulnérabilité de nature pour le moment inconnue dans Microsoft Excel
permettrait à un utilisateur mal intentionné d'exécuter du code
arbitraire ou de provoquer un déni de service. Cette vulnérabilité
ferait l'objet d'une utilisation par du code malveillant véhiculé via du
pourriel ( « spam » ) sur l'Internet. Elle est exploitable par le biais
d'un fichier xls construit de façon particulière. Cependant, l'attaque
ne peut aboutir que si l'utilisateur décide d'ouvrir le fichier Excel.

## Contournements provisoires

## 5.1 N'ouvrir que les documents provenant de sources de confiance

A la réception d'un document au format xls via la messagerie
électronique ou par tout autre support (URL, clef USB, disquette,
etc...), il est nécessaire de s'assurer de la provenance de ce fichier
et de ne l'ouvrir que si la source est de confiance.

## 5.2 Utiliser un logiciel alternatif

Il est possible d'utiliser un tableur alternatif non affecté par la
vulnérabilité comme Gnumeric ou celui de OpenOffice.org.

## 5.3 Contournement spécifique à Excel 2003

Microsoft Excel doit passer en mode «Repair» pour mettre en œuvre la
vulnérabilité. Aussi, dans l'attente d'un correctif, il est recommandé
de désactiver cette fonctionnalité de mode « Repair » en modifiant des
clefs de la base de registres. Il est cependant important de noter
qu'une erreur de modification dans la base de registres peut entraîner
des dysfonctionnements voir la nécessité de réinstaller la machine.

### sous windows 2000 :

-   cliquer sur Démarrer puis Exécuter. taper regedt32 et cliquer sur ok
    ;
-   éditer la clef
    `HKEY_CURRENT_USER\Software\Microsoft\Office\11.0\Excel\Resiliency`
    (si cette clef n'existe pas, la créer) ;
-   cliquer sur Editer puis permissions ;
-   cliquer afin de décocher la case Allow Inheritable Permissions from
    the parent to propagate to this object. cliquer alors sur Supprimer
    puis OK ;
-   un message d'avertissement apparaît alors, cliquer sur Oui.

### sous windows XP Service Pack 1 et suivant :

-   cliquer sur Démarrer puis Exécuter. taper regedt32 et cliquer sur ok
    ;
-   éditer la clef
    `HKEY_CURRENT_USER\Software\Microsoft\Office\11.0\Excel\Resiliency`
    (si cette clef n'existe pas, la créer) ;
-   cliquer sur Editer puis permissions ;
-   cliquer afin de décocher la case Inherit from the parent the
    permission entries that apply to child objects. Include these with
    entries explicitly defined here. cliquer alors sur Supprimer puis OK
    ;
-   un message d'avertissement apparaît alors, cliquer sur Oui.

NB: Le mode « Repair » de Microsoft Excel a
pour fonction de récupérer les documents Excel endommagés. En appliquant
ce contournement provisoire, il sera impossible d'utiliser cette
fonctionnalité de récupération.

## Solution

Se référer au bulletin de sécurité de l'éditeur et à l'avis de sécurité
du CERTA pour l'obtention du correctif.

Bulletin de sécurité Microsoft MS06-037 du 11 juillet 2006    :

Avis de sécurité du CERTA du 12 juillet 2006 :

Bulletin du SANS du 16 juin 2006 :

version initiale ;

ajout du contournement provisoir pour Windows 2003, ajout des versions Mac et du Viewer, ajout de la référence CVE.

ajout des références aux bulletins de sécurité Microsoft et CERTA.

Exécution de code arbitraire

Déni de service

Summary:
Une vulnérabilité non corrigée dans Microsoft Excel permettrait à un
utilisateur mal intentionné de faire exécuter du code arbitraire ou de
provoquer un déni de service sur la machine d'un utilisateur ouvrant un
fichier au format xls.

Vulnérabilité dans Microsoft Excel

Article sur le site du Microsoft Security Response Center


Les versions d'<TT>ExtCalendar</TT> antérieures ou égales à  2.0.

## Description

ExtCalendar est une application permettant de gérer un calendrier. Elle
se présente comme un composant, qui peut être installé en association
avec des CMS (pour Content Management Systems) de type Joomla! ou Mambo.
Une vulnérabilité a été identifiée dans celle-ci. Elle ne vérifie pas
correctement la variable
mosConfig_absolute_path. Un utilisateur malveillant peut profiter de
cette propriété pour injecter du code arbitraire à distance.

Cette vulnérabilité est actuellement exploitée.

## Solution

Ce produit n'est plus suivi par le CERTA.

Site du projet ExtCalendar :

version initiale.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité d'ExtCalendar permet à un
utilisateur malveillant d'injecter du code arbitraire à distance.

Vulnérabilité d'ExtCalendar


Microsoft Powerpoint dans Microsoft Office XP ;

Microsoft Powerpoint 2002 dans Microsoft Office 2003 ;

Microsoft Powerpoint 2003 dans 0ffice 2000 ;

Microsoft Powerpoint dans Office 2004 pour MacOS.

Microsoft Office concerne une suite d'applications, incluant  Excel, FrontPage, Outlook, Powerpoint, Publisher et Word.

La visionneuse de documents Powerpoint (<TT>Microsoft  Powerpoint Viewer</TT>) ne serait pas affectée par cette  vulnérabilité.

## Description

Les fonctions mso (Microsoft Office) sont des fonctions spéciales
disponibles dans la librairie mso.dll d'Office. Elles s'occupent par
exemple des affichages de bulles, des barres de menu, des boîtes de
dialogue, etc. Ces fonctions sont appelées par plusieurs applications de
Microsoft Office, notamment Word ou Powerpoint.

Une vulnérabilité a été identifiée dans la librairie mso.dll. Elle fait
l'objet d'une utilisation par du code malveillant sur l'Internet. Elle
est exploitée par le biais d'un document Powerpoint.

Powerpoint serait également impacté par deux autres vulnérabilités.
Cette information n'est pas confirmée pour le moment.

## Contournement provisoire

## 5.1 Utiliser les visionneuses Office dans la mesure du possible

La visionneuse de documents Powerpoint ne serait pas affectée par les
vulnérabilités précédentes.

## 5.2 Mettre à jour la base de signatures d'antivirus

Certains éditeurs d'antivirus proposent déjà des mises à jour de
signatures prenant en compte le code malveillant sous sa forme actuelle.
Il est cependant probable que des variantes apparaissent afin de
contourner ces signatures.

## 5.3 Filter les pièces jointes au niveau de la passerelle de la messagerie

Les passerelles de messagerie offrent le plus souvent la possibilité de
filtrer les documents en pièce jointe. Dans les cas les plus simples,
elles se basent sur l'extension du nom du fichier. Dans la mesure du
possible, il est conseillé de filtrer les extensions .ppt venant de
domaines externes.

## 5.4 Ouvrir les documents provenant de sources de confiance

A la réception d'un document Office (au format .ppt compte tenu du code
malveillant actuel), soit par le biais de la messagerie électronique ou
sur tout autre support, il est nécessaire de s'assurer de la provenance
de ce fichier et de ne l'ouvrir que si la source est de confiance.

## Solution

Appliquer le correctif MS06-048 de l'éditeur Microsoft (Cf. section
documentation).

Téléchargement de la visionneuse Microsoft Powerpoint :

Bulletin de sécurité Microsoft MS06-048 du 08 août 2006 :

Avis CERTA CERTA-2006-AVI-346 du 09 août 2006 :

Memento du CERTA sur les virus informatiques :

version initiale.

ajout de références.

ajout du correctif MS06-048 de Microsoft et de l'avis CERTA-2006-AVI-346.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité non corrigée dans une librairie de Microsoft Office
permettrait à un utilisateur mal intentionné d'exécuter du code
arbitraire ou de provoquer un déni de service à distance. Un code en
circulation exploite cette vulnérabilité par le biais de documents
Powerpoint.

Vulnérabilité de la librairie MSO.DLL dans Microsoft Office


Internet Explorer 6 SP1 sur Windows 2000 SP4 avec le correctif référencé par le bulletin MS06-042 ;

Internet Explorer 6 SP1 sur Windows XP SP1 avec le correctif référencé par le bulletin MS06-042.

## Description

Dans le précédent bulletin d'actualité CERTA-2006-ACT-033 publié le 18
août, nous indiquions la possibilité de réaliser un déni de service sur
Internet Explorer corrigé par le correctif référencé dans le bulletin
MS06-042. Microsoft annonçait la mise à disposition d'un nouveau
correctif le 22 août.

Hier, mardi 22 août, Microsoft a publié le bulletin de sécurité 923762
dans lequel l'éditeur annonce un report dans l'arrivée du correctif dû à
des problèmes dans le déploiement. De plus, il apparaît que la
vulnérabilité est exploitable et que des codes d'exploitations sont
utilisés sur Internet.

## Contournements provisoires

Dans l'attente du correctif, nous vous recommandons :

-   de passer à la version SP2 sur Windows XP ;
-   d'empêcher le navigateur de spécifier dans l'entête HTTP le champ
    Accept-Encoding (gzip, deflate, compress, etc), au moyen d'un proxy
    web sur la machine utilisateur, ou d'une passerelle proxy au niveau
    du réseau.

## Solution

Mircosoft à mis à jour le correctif référencé par le bulletin de
sécurité MS06-042 et recommande aux utilisateurs d'appliquer ce
correctif.

Mise à jour du bulletin de sécurité CERTA-2006-AVI-340 du    25 août 2006 :

Bulletin de sécurité Microsoft MS06-042 du 09 août 2006 :

Bulletin de sécurité 923762 de Microsoft du 22 août 2006 :

Bulletin d'actualité CERTA-2006-ACT-033 du 18 août 2006 :

Blog MSRC de Microsoft :

version initiale.

correction dans les coutournements provisoires.

modification du correctif référencé par l'avis Microsoft.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité présente sur Internet Explorer peut être exploitée par
un utilisateur mal intentionné, via une page html malveillante, pour
réaliser un déni de service ou exécuter du code arbitraire sur un
système où se trouve le produit vulnérable.

Vulnérabilité dans Internet Explorer

Bulletin de sécurité Microsoft 923762


Works versions 8.0 et 8.5 ;

Suite bureautique Mac Office versions v.X et 2004 ;

Suite bureautique Microsoft Office versions 2000SP3, 2002SP2, 2002SP3, 2003SP1, 2003SP2 ;

Internet Explorer et famille Outlook.

Wordpad toutes versions ;

## Description

-   Un grand nombre de vulnérabilités révélées publiquement affectent la
    gamme Office. Ces vulnérabilités peuvent être exploitées par le
    biais de documents malicieusement contruits dont l'ouverture peut
    provoquer l'exécution de commandes dans le contexte utilisateur.
-   Plusieurs autres vulnérabilités ont été découvertes dans des
    versions d'Internet Explorer. Ces vulnérabilités permettent à un
    attaquant de compromettre le navigateur, directement ou par le biais
    d'une dll vulnérable (vgx.dll). Cette bibliothèque est utilisée pour
    prendre en compte le format VML (Vector Markup Vector Language). Ce
    format fondé sur le langage XML est utilisé pour éditer certaines
    images. Deux vecteurs d'attaques sont possibles :
    -   via une page HTML spécifiquement conçue pour exploiter la faille
        d'Internet Explorer ;
    -   via des messages électroniques qui seraient lus à l'aide des
        clients de la famille d'Outlook avec prise en compte du langage
        HTML. Des messages malicieux se propagent déja sur l'Internet.
-   Comme cela a été déja souligné à de nombreuses reprises par le
    CERTA, il est fortement recommandé de désactiver par défaut les
    options ActiveX et les scripts en général en choisissant
    éventuellement leur activation pour les sites de confiance
    nécessitant l'usage de tels composants ou programmes.

Un bulletin de sécurité Microsoft annonce officiellement une
vulnérabilité dans MS Office Word 2000. Une référence CVE est associée à
cette vulnérabilité, qui est exploitée actuellement par du code
malveillant.

## Contournement provisoire

**Suite bureautique MS-Office**
:   N'ouvrir que les documents bureautiques de confiance, et utiliser
    une suite bureautique alternative à jour (OpenOffice, par exemple).

**Internet Explorer 1**
:   Utiliser un navigateur alternatif à jour (Mozilla, Firefox, Opéra,
    etc...)

**Internet Explorer 2**
:   Désactiver les options ActiveX, les scripts (cf. bulletin
    d'actualité du CERTA)

**Internet Explorer 3 et Outlook**
:   Désactiver la bibliothèque vgx.dll :
    <div markdown="1" align="center">

    <span
    class="small">`regsvr32.exe        "%CommonProgramFiles%\Microsoft Shared\VGX\vgx.dll"        -u`</span>

    </div>

Une mise à jour de sécurité, publiée par Microsoft, est désormais
disponible. Elle permet de corriger une des vulnérabilités citées dans
ce bulletin d'alerte, en l'occurence celle présente dans la bibliothèque
vgx.dll. Un bulletin de sécurité du CERTA reprend cette vulnérabilité
ainsi que la solution associée.

Se référer à l'avis du CERTA référencé CERTA-2006-AVI-410 du 27
septembre 2006 diponible à l'adresse suivante :

    http://www.certa.ssi.gouv.fr/site/CERTA-2006-AVI-410/index.html

## Solution

Se référer aux bulletins de sécurité de l'éditeur pour obtenir les mises
à jour (cf. Documentation).

Bulletin de sécurité Microsoft 925444 :

Bulletin de mise à jour Microsoft MS06-055 :

Avis du CERTA numeros CERTA-2006-AVI-410,    CERTA-2006-AVI-438, CERTA-2006-AVI-439, CERTA-2006-AVI-440,    CERTA-2006-AVI-442 :

Bulletin de mise à jour Microsoft MS06-058 :

Bulletin d'actualité (N°27)du CERTA :

Bulletin d'actualité (N°30)du CERTA :

Bulletin de mise à jour Microsoft MS06-059 :

Bulletin de sécurité Microsoft 925568 :

Bulletin d'actualité (N°37)du CERTA :

Bulletin de sécurité Microsoft 925059 :

Bulletin de mise à jour Microsoft MS06-060 :

Bulletin de mise à jour Microsoft MS06-062 :

Version initiale.

Diffusion de code.

Rappels sur les ActiveX.

Ajouts références Microsoft et CVE.

Ajout diffusion via la messagerie.

Ajout de la référence à l'avis CERTA référencé CERTA-2006-AVI-410.

Ajout de la solution et mise en forme.

Exécution de code arbitraire à distance

Déni de service

Summary:
De multiples vulnérabilités affectent certains produits de l'éditeur
Microsoft. Ces vulnérabilités peuvent être exploitées par un utilisateur
mal intentionné afin de provoquer un déni de service ou une exécution de
code arbitraire à distance sur la machine cible. Des codes malveillants
exploitant certaines de ces vulnérabilités sont disponibles sur
l'Internet.

Multiples vulnérabilités de produits Microsoft


Microsoft PowerPoint 2003 ;

Microsoft PowerPoint XP.

## Description

Une vulnérabilité a été découverte sur le logiciel Microsoft PowerPoint
versions 2003 et XP. Aucune mise à jour n'est disponible pour celle-ci.

Un code d'exploitation provoquant un déni de service (arrêt inopiné) du
logiciel est disponible sur l'Internet. Ce code d'exploitation a été
validée sur PowerPoint XP. L'impact réel (outre le déni de service) de
cette vulnérabilité n'est pas encore connu.

Aucune précision n'est disponible pour le moment quant à l'extension de
cette vulnérabilité aux autres versions de Microsoft PowerPoint.

## Contournement provisoire

N'ouvrir que les documents bureautiques de confiance, et utiliser une
suite bureautique alternative à jour (OpenOffice, par exemple).

## Solution

Microsoft a corrigé cette vulnérabilité dans le service pack 3 de Office
2003. La vulnérabilité n'est toujours pas corrigée pour PowerPoint XP.
Toutefois, l'éditeur affirme que cette faille ne permet pas d'exécuter
du code arbitraire. Cette vulnérabilité ne justifiant donc plus le même
niveau de vigilance, le CERTA a décidé de réévaluer l'alerte.

Bloc-notes du MSRC (Microsoft Security Response Center) :

version initiale.

ajout du correctif pour PowerPoint 2003 et réévaluation de l'alerte.

Exécution de code arbitraire

Déni de service

Summary: Une vulnérabilité a été découverte sur le logiciel Microsoft PowerPoint.

Vulnérabilité de Microsoft PowerPoint

Note du MSRC (Microsoft Security Response Center) du 12 octobre 2006


Apple Macintosh OS X

## Description

Plusieurs vulnérabilités ont été identifiées, en relation avec le format
DMG sous Apple MacOS X. Parmi celles-ci :

-   le mauvais traitement des fichiers corrompus d'image disque (format
    DMG) par la fonction com.apple.AppleDiskImageController peut
    provoquer un déni de service ;
-   Apple Finder ne manipulerait pas correctement des fichiers d'image
    dont le nom de volume dépasse 255 octets ;
-   le système de fichiers UFS aurait plusieurs fonctions vulnérables à
    des attaques de type débordement d'entiers (ou integer overflow) :
    ffs_mountfs() et byte_swap_sbin() ;
-   l'appel à la fonction ufs_dirbad() par ufs_lookup() pourrait
    provoquer, sous certaines conditions, un déni de service du système
    vulnérable ;
-   une image DMG contenant un système de fichiers UFS+ et construite de
    manière particulière pourrait provoquer un dysfonctionnement du
    système vulnérable, suite à l'appel à la fonction do_hfs_truncate().

Des codes exploitant ces vulnérabilités circulent sur Internet.

## Contournement provisoire

-   N'autoriser l'accès au système vulnérable qu'aux personnes de
    confiance ;
-   limiter le téléchargement de fichiers DMG et en vérifier l'intégrité
    avant installation ;
-   désactiver l'option de Safari : Ouvrir automatiquement les fichiers
    « fiables » et les options équivalentes des autres navigateurs.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Référence CVE CVE-2006-5482 :

Référence CVE CVE-2006-5679 :

Référence CVE CVE-2007-0197 :

Bulletin de sécurité Secunia du 21 novembre 2006 :

Référence CVE CVE-2007-0267 :

Référence CVE CVE-2007-0299 :

Mise à jour de sécurité Apple 2007-002 du 15 février 2007 :

version initiale.

ajout de nouvelles vulnérabilités et références.

ajout de la mise à jour Apple.

Déni de service à distance

Élévation de privilèges

Summary:
Une mauvaise gestion des fichiers d'image disque (format DMG) permet à
un utilisateur d'obtenir des privilèges élevés et de compromettre
l'ordinateur à l'aide d'un fichier corrompu.

Vulnérabilité de MacOS X

Avis Secunia SA23012


Microsoft Word 2000 ;

Microsoft Word 2002 ;

Microsoft Word 2003 ;

Microsoft Word Viewer 2003 ;

Microsoft Word 2004 pour Mac ;

Microsoft Word 2004 v. X pour Mac ;

Microsoft Works 2004, 2005 et 2006 ;

OpenOffice versions 2.x et antérieurs.

D'autres applications pourraient être affectées par ces  vulnérabilités.

## Description

## 4.1 Alerte du 18 décembre 2006

Trois vulnérabilités ont été découvertes dans Microsoft Word et
affectent également OpenOffice. Un utilisateur malintentionné peut, en
incitant sa victime à ouvrir un document au format Word (par exemple par
l'intermédiaire d'un message électronique ou d'un site web), provoquer
l'exécution de code arbitraire à distance avec les privilèges de
l'utilisateur.

Deux codes malveillants exploitent actuellement ces vulnérabilités et
sont détectés par certains antivirus (à jour) sous les noms :
Troj/DwnLdr-FXG, Troj/DwnLdr-FXH, TROJ_TINY_DU,
Trojan_Downloader.Win32.Cryptic.ec, Trojan_Downloader.Win32.Cryptic.f,
etc.

Il n'existe pas de correctif officiel pour le moment.

## 4.2 Mise à jour du 26 janvier 2007

Le 26 janvier 2007, Symantec fait état d'un code malveillant exploitant
une nouvelle vulnérabilité non corrigée présente dans Microsoft Word
2000 (cf. section Documentation). Ce code malveillant circule sur
Internet sous forme de document Word. Il est identifié par Symantec sous
le nom : Trojan.Mdropper.W.

Comme les précédente vulnérabilités, il n'existe à ce jour pas de
correctif officiel.

## Contournement provisoire

## 5.1 Utiliser un format de document alternatif

Le CERTA recommande l'utilisation d'un format de document alternatif tel
que le RTF.

## 5.2 Utiliser un logiciel alternatif

Le CERTA recommande d'utiliser un outil de visualisation des documents
au format Word alternatif à jour (WordPad ou AbiWord).

## 5.3 Mettre à jour la base de signatures d'antivirus

Certains éditeurs d'antivirus proposent déjà des mises à jours de
signatures prenant en compte les codes malveillants sous sa forme
actuelle. Il est cependant probable que des variantes apparaissent afin
de contourner ces antivirus.

## 5.4 Filtrer les pièces jointes au niveau des passerelles

Dans la mesure du possible, il est recommandé de filtrer les fichiers au
format Word (extension .doc) au niveau des passerelles (messagerie, web
...).

## 5.5 N'ouvrir que les documents provenant de sources de confiance

A la reception d'un document au format doc soit par le biais de la
messagerie électronique ou sur tout autre support, il est nécessaire de
s'assurer de la provenance de ce fichier et de ne l'ouvrir que si la
source est de confiance et après analyse par un antivirus à jour.

## 5.6 Limiter l'impact en utilisant un compte utilisateur sans privilège

L'utilisation de compte n'ayant pas de droits d'administration permet de
limiter l'infection au contexte de l'utilisateur.

## Solution

Appliquer les mises à jours de l'éditeur (cf. Documentation);

Avis du CERTA numero CERTA-2007-AVI-083 du 14 février 2007:

Bulletins de mise à jour Microsoft MS07-014 et MS07-015 du    13 février 2007 :

Annonce du bloc-note de Symantec du 26 janvier 2007 :

Annonce sur le bloc-notes Microsoft de la seconde    vulnérabilité, le 10 décembre 2006 :

Bulletin de sécurité Microsoft 932114 du 26 janvier 2007 :

version initiale.

modifications liées à l'annonce d'une nouvelle vulnérabilité annoncée par Microsoft.

modifications liées à l'annonce d'une nouvelle vulnérabilité, ajout des références CVE.

modifications liées à l'affectation d'OpenOffice.

annonce d'une nouvelle vulnérabilité par Symantec.

ajout des références aux bulletins de sécurité Microsoft et CVE.

ajout du correctif.

Exécution de code arbitraire à distance

Summary:
Des vulnérabilités liées aux documents de format Word permettent
l'exécution de code arbitraire à distance.

Vulnérabilités dans Microsoft Word

Bulletin de sécurité Microsoft 929433


Apple Quicktime versions 7.1.3 et  antérieures.

## Description

Un manque de contrôle sur les liens ou URL de type rtsp:// permet à un
utilisateur distant mal intentionné de provoquer un déni de service ou
d'exécuter du code arbitraire dans le contexte de l'utilisateur de
l'application QuickTime vulnérable. L'exploitation de la vulnérabilité
peut se faire par le biais d'un lien rtsp:// directement ou bien par le
biais d'un fichier .qtl construit de façon particulière.

## Contournement provisoire

## 5.1 Sous Microsoft Windows :

-   Désactiver la prise en charge des liens rtsp:// dans Quicktime en
    décochant la case
    Préférences de Quicktime -\> Types de fichiers -\> Diffusion -\>
    Descripteur de flux RTSP ;
-   supprimer l'association de Quicktime avec les fichiers .qtl en
    supprimant la clef de registre :
    `HKEY_CLASSES_ROOT\.qtl`.

## 5.2 Sous Apple MacOS X :

-   Désactiver la prise en charge des liens rtsp:// dans QuickTime en
    décochant la case
    Préférences de Quicktime -\> Avancé -\> Réglages MIME -\> Diffusion
    -\> Descripteur de flux RTSP ;
-   ne pas ouvrir les fichiers de type .qtl dans la mesure ou il n'y a
    pas de moyen simple d'enlever l'association de ces fichiers avec
    QuickTime, il convient de ne pas ouvrir les fichiers .qtl avec
    QuickTime.

## Solution

Appliquer le correctif 2007-001 fourni par Apple le 23 janvier 2007.

Mise à jour de sécurité Apple 2007-001 du 23 janvier 2007 :

version initiale.

ajout de la mise à jour Apple.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Apple Quicktime permet à un utilisateur distant
de provoquer un déni de service ou d'exécuter du code arbitraire.

Vulnérablité dans Apple Quicktime

Annonce du "Month of Apple Bugs" MOAB-01-01-2007


Microsoft Windows XP Service Pack 2 ;

Microsoft Windows XP Professional x64 Edition.

Microsoft Windows 2000 Service Pack 4 ;

## Description

Une vulnérabilité de type débordement de mémoire dans Windows permet de
provoquer un déni de service de toute application essayant de visualiser
un fichier wmf. Il existe d'ores et déjà du code permettant
l'exploitation de cette faille et causant un déni de service sur toute
application utilisant les composants de Windows qui permettent la
visualisation des fichiers au format WMF.
Le CERTA n'a pour le moment pas connaissance d'eventuel code permettant
l'exécution de code arbitraire à distance mais cette éventualité est
envisageable.

03 avril 2007 :

Microsoft publie le bulletin de sécurité MS07-017 qui propose un
correctif pour cette vulnérabilité. Ce bulletin est mentionné dans
l'avis CERTA-2007-AVI-156.

## Contournement provisoire

La vulnérabilité touchant probablement les mêmes composants que ceux
décrits dans l'alerte CERTA-2005-ALE-019, les contournements y étant
détaillés sont applicables dans le cas présent :

NB : le contournement provisoire cité en paragraphe 5.2 donne l'illusion
de fonctionner sans les privilèges administrateur, du fait que
l'utilisateur est informé du bon déroulement de la désactivation du
composant shimgvw.dll. Cependant le composant vulnérable reste actif et
par conséquent le système reste vulnérable.

## 5.1 Interdiction du composant shimgvw.dll dans la politique de sécurité

Le contournement provisoire suivant ne peut s'appliquer que dans le cas
où vous disposez d'un ou plusieurs systèmes Microsoft Windows 2003
Server en tant que contrôleur de domaine.

Dans ce cas, vous pouvez appliquer une politique de sécurité interdisant
l'utilisation du composant shimgvw.dll pour toute votre unité
organisationnelle.

## 5.2 Désactivation du composant shimgvw.dll

Il apparaît que les applications faisant appel au composant shimgvw.dll
de Microsoft Windows deviendraient vulnérables. Parmi les applications
vulnérables, nous pouvons citer par exemple Mozilla Firefox, Google
Desktop.

C'est pour cela que le CERTA propose un contournement provisoire plus
radical que celui proposé au chapitre 5.2 en désactivant le composant
shimgvw.dll. Cependant cela pourrait avoir des effets de bords sur des
applications métiers utilisant cette dll.

Les composants de Microsoft Windows affectées par ce contournement
provisoire seront au minimum :

-   GDI+ File Thumbnail Extractor Windows Picture and Fax Viewer ;
-   HTML Thumbnail Extractor Windows Picture and Fax Viewer ;
-   Shell Image Data Factory Windows Picture and Fax Viewer ;
-   Shell Image Property Handler Windows Picture and Fax Viewer ;
-   Shell Image Verbs Windows Picture and Fax Viewer ;
-   Summary Info Thumbnail Handler (DOCFILE) Windows Picture and Fax
    Viewer ;

Procédures à suivre :

-   Afin de désactiver le composant shimgvw.dll de Microsoft Windows :
    -   Cliquez sur "Démarrer" puis sur "exécuter" ;
    -   tapez "regsvr32.exe -u shimgvw.dll" puis "Entrée.
-   Afin de réactiver (lorsque le correctif sera disponible) le
    composant shimgvw.dll de Microsoft Windows :
    -   Cliquez sur "Démarrer" puis sur "exécuter" ;
    -   tapez "regsvr32.exe shimgvw.dll" puis "Entrée".

Si vous ne disposez pas du fichier regsvr32.exe, il peut être téléchargé
à partir du site de Microsoft, à l'adresse suivante :

    http://support.microsoft.com/kb/q267279/

## 5.3 Contournement provisoire pour Internet Explorer

Afin de limiter l'impact d'un fichier wmf malveillant sur le système :

-   bloquer l'exécution après téléchargement de fichier ayant
    l'extension wmf ;

    1.  cliquez sur "Démarrer" puis sur "Poste de travail" ;
    2.  dans le menu "Outils" cliquez sur "Options des dossiers" ;
    3.  dans l'onglet "Types de fichiers", sélectionnez dans la liste
        WMF ;
    4.  dans l'encadré "Détails concernant l'extension 'WMF'", cliquez
        sur "Avancé" ;
    5.  cochez l'option "Confirmer l'ouverture après le téléchargement"
        puis acceptez les modifications.

    Le contournement cité ci-dessus prévient le téléchargement et
    l'exécution automatique du fichier malveillant, toutefois
    l'utilisateur peut télécharger et exécuter manuellement le fichier
    et provoquer ainsi la compromission de son système.

## 5.4 Rappels de principes généraux

-   Afficher les messages en texte brut dans votre client de messagerie
    conformément à la note de recommandation CERTA-2000-REC-001 (cf.
    Section Documentation) ;
-   en complément, la règle générale de mise à jour régulière des
    anti-virus est bien entendu à respecter dans ce cas là ;
-   mémento du CERTA sur les virus (cf. section Documentation) ;
-   Note d'information du CERTA sur le SPAM (cf. Documentation).

## Solution

Se reporter au bulletin de sécurité Microsoft MS07-017 pour
l'application des correctifs.

Avis CERTA-2007-AVI-156 du 03 avril 2007 :

Bulletin de sécurité Microsoft MS07-017 du 03 avril 2007 :

version initiale.

ajout de la référence au bulletin de sécurité Microsoft MS07-017.

Déni de service à distance

Summary:
Une vulnérabilité non corrigée présente dans Windows permet à un
utilisateur distant de provoquer un déni de service sur une application
vulnérable.

Vulnérabilité dans Windows


## Description

Un courriel électronique est actuellement diffusé sur l'Internet.

Dans sa configuration actuelle, il se présente comme un message
provenant de `AdminSNCF@sncf-voyages.com`, avec pour titre : « Urgent :
Vérification de vos données ».

Le corps du message ressemble à s'y méprendre à un courrier authentique
de la SNCF, avec le logo et un texte en français. Ce dernier, sous un
faux prétexte ironique ("vol de votre identité pour acheter sur un site
Internet"), exige avec beaucoup de sérieux ("information chiffrée et
protégée avec le meilleur logiciel de chiffrement dans l'industrie"), à
la victime de fournir ses coordonnées bancaires, des données
personnelles (adresse, date de naissance, numéro de téléphone), et un
mot de passe.

Le lien affiché dans le corps du message ressemble à celui de la SNCF :
http://www.sncf-voyages.com mais dirige la victime vers un site factice
(imitation d'un site officiel de la SNCF).

## Solution

## 4.1 Origine du problème

Les courriers électroniques, tout comme les lettres postales, sont un
moyen de communication aisé pour transmettre de l'information.
Cependant, le processus standard pour les transmettre n'offre pas, sans
service complémentaire, certaines garanties. Pour les lettres postales,
l'expéditeur n'est pas vérifié, et l'entête du courrier (adresses,
téléphone, dates) peut être falsifié. Il en va de même pour la
messagerie électronique.

Ces problèmes sont à la source des attaques de filoutage (ou phishing),
ou servent à conduire les utilisateurs vers des pages Web malveillantes.

## 4.2 Recommandations

Comment réagir pour ne pas se faire voler d'informations ?

Il n'est pas aisé de déterminer si un courriel a été envoyé à des fins
malveillantes. Quelques bons réflexes permettent cependant, malgré la
difficulté d'estimer le risque, de limiter les impacts d'une telle
attaque :

-   être circonspect quand l'expéditeur ou le destinataire affiché est
    inconnu, ou quand le style ou la syntaxe sont approximatifs ;
-   être vigilant lorsqu'un courriel demande des actions urgentes,
    propose de l'argent facile ou des produits peu chers ;
-   éviter de fournir de l'information sur le site Internet qui
    s'affiche après un clic dans un courriel, en remplissant par exemple
    un formulaire ou en renseignant un mot de passe ;
-   faites appel à un correspondant informatique ou de sécurité s'il y a
    le moindre doute sur la nature d'u n courriel reçu ou sur une page
    Internet visitée suite au clic depuis un courriel.

Quelques mesures plus techniques :

-   vérifier pour tout échange de coordonnées confidentielles que le mot
    https figure devant l'adresse du site dans la barre du navigateur
    et/ou un cadenas existe dans la barre d'état (bas droit de l'écran)
    ;
-   taper directement dans le navigateur Internet l'adresse indiquée par
    le courrier électronique, sans cliquer dessus, et après l'avoir
    vérifiée. En effet le lien qui s'affiche à l'écran n'est pas
    nécessairement la véritable adresse Internet cible ;
-   configurer le client de messagerie pour lire tous les courriers
    électroniques au format texte ;
-   configurer le navigateur Internet pour qu'il n'interprète pas les
    ActiveX, Java et le Javascript par défaut ;
-   consulter le code source du courrier électronique pour vérifier les
    adresses incluses dans les liens HTML.

Note CERTA-2000-INF-002, « Mesures de prévention relatives    à la messagerie » :

Note CERTA-2005-INF-004, « Limiter l'impact du      SPAM » :

version initiale.

Atteinte à la confidentialité des données

Summary:
Un courriel électronique est actuellement diffusé sur l'Internet, et
comporte un lien vers un site de filoutage, ou phishing. Il permettrait
à une personne malveillante de voler des données personnelles, des
identifiants de connexion et des coordonnées bancaires.

Filoutage contre le site voyages-sncf.com


Microsoft Office 2004 pour Mac.

Microsoft Office 2000 ;

Microsoft Office XP ;

Microsoft Office 2003 ;

## Description

Une vulnérabilité a été identifiée dans Microsoft Office. Il s'agirait
d'une mauvaise interprétation d'une chaîne de caractères dans un fichier
Office qui provoquerait un débordement de mémoire. Une personne
malveillante pourrait diffuser un fichier spécialement construit (en
pièce jointe d'un courrier électronique, ou par téléchargement sur une
page Web par exemple), afin de provoquer, lors de son ouverture,
l'exécution de code arbitraire sur la machine vulnérable.

Un code exploitant cette vulnérabilité est actuellement en circulation.
Il se présente sous la forme d'un fichier Excel, et permettrait
d'installer un Cheval de Troie sous Windows XP Service Pack 2. Il
provoquerait sinon une perturbation (fermeture inopinée) de
l'application Excel sur d'autres versions du système d'exploitation
Microsoft Windows.

L'éditeur d'anti-virus McAfee le prénomme Exploit-MSExcel.h. Il se
caractérise par la création d'un fichier top10.exe dans le répertoire
TEMP.

Il n'existe pas de correctif officiel pour le moment.

## Contournement provisoire

## 5.1 Utiliser un logiciel alternatif

Le CERTA recommande d'utiliser des applications alternatives pour
visualiser les documents Office, et notamment, pour les fichiers au
format Excel, des tableurs comme Gnumeric ou celui de OpenOffice.org.

## 5.2 Mettre à jour la base de signatures d'antivirus

Certains éditeurs d'antivirus proposent déjà des mises à jours de
signatures prenant en compte les codes malveillants sous sa forme
actuelle. Il est cependant probable que des variantes apparaissent afin
de contourner ces antivirus.

## 5.3 Filtrer les pièces jointes au niveau des passerelles

Dans la mesure du possible, il est recommandé de filtrer les fichiers au
format Excel (extension .xls) au niveau des passerelles (messagerie, web
...).

## 5.4 N'ouvrir que les documents provenant de sources de confiance

A la reception d'un document au format Excel soit par le biais de la
messagerie électronique ou sur tout autre support, il est nécessaire de
s'assurer de la provenance de ce fichier et de ne l'ouvrir que si la
source est de confiance et après analyse par un antivirus à jour.

## 5.5 Limiter l'impact en utilisant un compte utilisateur sans privilège

L'utilisation de compte n'ayant pas de droits d'administration permet de
limiter l'infection au contexte de l'utilisateur.

## Solution

Appliquer les correctifs tel que décrit sur le site de l'éditeur (cf.
Documentation);

Annonce du laboratoire de McAfee du 02 février 2007 :

version initiale.

Ajout de la solution.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été identifiée dans Microsoft Office. Elle est
actuellement exploitée par le biais de l'application Excel. Une personne
malveillante pourrait diffuser un fichier spécialement construit (en
pièce jointe d'un courrier électronique, ou par téléchargement sur une
page Web par exemple), afin de provoquer, lors de son ouverture,
l'exécution de code arbitraire sur la machine vulnérable.

Vulnérabilité dans Microsoft Office

Avis de sécurité Microsoft 932553 du 02 février 2007


Sun Solaris Express.

Sun Solaris 10 ;

## Description

Une vulnérabilité a été découverte dans la conjonction du service
telnetd et de la commande /usr/cmd/login. Cette vulnérabilité peut être
exploitée par une personne distante afin de se connecter à la machine
vulnérable sous un nom d'utilisateur légitime, à condition d'en
connaître un. Le système n'est cependant vulnérable qu'à la condition où
le service telnetd soit démarré avec les droits root.

L'exploitation de cette vulnérabilité est triviale et un code
d'exploitation circule sur l'Internet. D'autres services de connexion à
distance présentent potentiellement le même type de vulnérabilité.

28 février 2007 : le CERTA a été informé de la propagation d'un ver
exploitant cette vulnérabilité. Des méthodes pour le détecter sont
fournies par Sun à l'adresse ci-dessous :

    http://blogs.sun.com/security/entry/solaris_in_telnetd_worm_seen

## Contournement provisoire

Désactiver le service telnetd grâce à la commande suivante :

    svcadm disable telnetd

Par précaution, désactiver de la même manière les services rlogind,
klogin, eklogin :

    svcadm disable rlogind
    svcadm disable klogin
    svcadm disable eklogin

Il est également recommandé de vérifier que l'accès au port TCP 23 est
correctement filtré au niveau des pare-feux, en accord avec la politique
de sécurité.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Sun #201391 du 28 février 2007 :

version initiale.

ajout d'informations concernant la propagation d'un ver et solution.

passage en statut corrigé, ajout de la référence CVE.

Contournement de la politique de sécurité

Summary:
Une vulnérabilité permettant une connexion non légitime à distance a été
découverte dans le système d'exploitation Sun Solaris.

Vulnérabilité de Sun Solaris


Microsoft Office 2000 ;

Microsoft Office XP.

## Description

Le composant Word de la suite bureautique Microsoft Office est
vulnérable à une attaque de type corruption de mémoire par le biais
d'une chaîne de caractère malformée.

L'exploitation de cette vulnérabilité permet à un utilisateur
malintentionné d'exécuter du code arbiraire sur la machine vulnérable.

Du code d'exploitation circule sur Internet.

## Contournement provisoire

-   N'ouvrir que les documents bureautiques provenant de sources de
    confiance ;
-   utiliser une suite bureautique alternative.

Le CERTA a publié le 09 mai 2007 l'avis CERTA-2007-AVI-204. Ce dernier
indique que Microsoft corrige cette vulnérabilité, détaillée dans son
bulletin de sécurité MS07-024.

## Solution

Se référer au bulletin de sécurité MS07-024 de Microsoft pour
l'obtention des correctifs (cf. section Documentation). Ce dernier est
présenté dans l'avis CERTA-2007-AVI-204.

Bulletin de sécurité Microsoft 933052 du 14 février 2007 :

Avis CERTA-2007-AVI-204 du 09 mai 2007 :

version initiale.

ajout des références au bulletin de sécurité MS07-024 et CERTA-2007-AVI-204.

Exécution de code arbitraire à distance

Summary: Une vulnérabilité a été découverte dans le logiciel Word.

Vulnérabilité dans le logiciel Microsoft Word

Bulletin de sécurité Microsoft du 14 février 2007


Microsoft Windows XP ;

Microsoft Windows 2000.

## Description

Microsoft Windows Explorer utilise une bibliothèque permettant
d'analyser les informations contenues dans des documents Microsoft
Office.

La bibliothèque OLE32.dll serait sensible à une attaque de type
corruption de mémoire par le biais d'un document Microsoft Office
spécialement conçu.

L'exploitation de cette vulnérabilité permet au minimum de réaliser un
déni de service.

Du code d'exploitation circule sur Internet.

## Contournement provisoire

## 5.1 Utiliser un format de document alternatif

Le CERTA recommande l'utilisation d'un format de document alternatif tel
que le RTF.

## 5.2 Utiliser un logiciel alternatif

Le CERTA recommande d'utiliser un outil de visualisation des documents
au format Word alternatif à jour (WordPad ou AbiWord).

## 5.3 Mettre à jour la base de signatures d'antivirus

Certains éditeurs d'antivirus proposent déjà des mises à jours de
signatures prenant en compte les codes malveillants sous sa forme
actuelle. Il est cependant probable que des variantes apparaissent afin
de contourner ces antivirus.

## 5.4 Filtrer les pièces jointes au niveau des passerelles

Dans la mesure du possible, il est recommandé de filtrer les fichiers au
format Word (extension .doc) au niveau des passerelles (messagerie, web
...).

## 5.5 N'ouvrir que les documents provenant de sources de confiance

A la reception d'un document au format doc soit par le biais de la
messagerie électronique ou sur tout autre support, il est nécessaire de
s'assurer de la provenance de ce fichier et de ne l'ouvrir que si la
source est de confiance et après analyse par un antivirus à jour.

## 5.6 Limiter l'impact en utilisant un compte utilisateur sans privilège

L'utilisation de compte n'ayant pas de droits d'administration permet de
limiter l'infection au contexte de l'utilisateur.

## Solution

L'éditeur affirme que cette vulnérabilité ne permet pas d'exécuter du
code arbitraire. Cette vulnérabilité ne justifiant plus le même niveau
de vigilance le CERTA a décidé de réévaluer cette alerte.

Note de vulnérabilité de l'US-CERT VU#194944 du 07 mars    2007 :

version initiale.

réévaluation de l'alerte (passage en statut corrigé).

Déni de service

Summary:
Une vulnérabilité a été découverte dans une bibliothèque de Microsoft
Windows.

Vulnérabilité de Microsoft Windows Explorer

Alerte VU#194944 de l'US-CERT


A la date de rédaction de ce bulletin d'alerte, la liste des  systèmes affectées peut encore évoluer.

Microsoft Windows 2000 Service Pack 4 ;

Microsoft Windows XP Service Pack 2 ;

Microsoft Windows XP 64-bit Edition Version 2003 (Itanium)    ;

Microsoft Windows XP Professional x64 Edition ;

Microsoft Windows Server 2003 ;

Microsoft Windows Server 2003 pour systèmes Itanium (avec    SP1 et SP2) ;

Microsoft Windows Server 2003 Service Pack 1 et Service    Pack 2 ;

Microsoft Windows Server 2003 x64 Edition ;

Microsoft Windows Server 2003 x64 Edition Service Pack 2    ;

Microsoft Windows Vista.

## Description

Cette vulnérabilité permettrait à un utilisateur distant malintentionné
d'exécuter du code arbitraire au moyen d'un fichier de données animées
(icône ou curseur) (.ani) spécialement construit. L'exploitation de
cette vulnérabilité ne nécessite aucune interaction de la part de
l'utilisateur, dans la mesure où Internet Explorer interprète ce type de
fichiers sans action particulière. L'infection peut également avoir lieu
par ouverture de courrier via Outlook ou par téléchargement d'un tel
fichier ANI (transferts par USB par exemple). Cette vulnérabilité ne
concerne pas directement Outlook et Internet Explorer, mais la
bibliothèque de fonctions user32.dll de Microsoft Windows.

Cette vulnérabilité est massivement exploitée sur l'Internet et
Microsoft a publié l'avis de sécurité 935423 à ce sujet.

03 avril 2007 :

Le CERTA a publié l'avis CERTA-2007-AVI-156, suite à la publication du
bulletin de sécurité MS07-017 par Microsoft.

## Contournement provisoire

-   Filtrer les fichiers (icône ou curseur) (.ani) au niveau des
    serveurs mandataires ou locaux ;
-   utiliser un navigateur Internet alternatif à Microsoft Internet
    Explorer ;
-   configurer les clients de messagerie de manière à afficher les
    messages électroniques en texte brut. Cette solution est cependant
    imparfaite.

## Solution

Appliquer le correctif annoncé par Microsoft dans le bulletin de
sécurité MS07-017 du 03 avril 2007.

Article concernant le premier ver exploitant la    vulnérabilité de cet avis, ISC SANS :

Avis de sécurité Microsoft 935423 du 29 mars 2007 :

Avis CERTA CERTA-2005-AVI-011 du 12 janvier 2005 :

Description du code malveillant    ``Exploit-ANIfile.c'' détecté par McAfee :

Avis CERTA-2007-AVI-156 du 03 avril 2007 :

Bulletin de sécurité Microsoft MS07-017 du 03 avril 2007 :

Annonce de sécurité sur le Web Log McAfee du 28 mars 2007 :

Description du code malveillant    ''TROJ_ANICMOO.AX'' détecté par Trend Micro :

Bulletin de sécurité Microsoft MS05-002 du 11 janvier 2005    :

version initiale.

ajout de la référence CVE.

ajout de références concernant l'exploitation massive de la vulnérabilité.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité non corrigée présente dans Microsoft Windows ferait
actuellement l'objet d'une exploitation à distance à l'aide d'un code
malveillant , nommé par certains antivirus Exploit-ANIfile.c ou
TROJ_ANICMOO.AX. Cette vulnérabilité serait liée à celle corrigée par
Microsoft dans le bulletin de sécurité MS05-002 du 11 janvier 2005 et
détaillée dans CERTA-2005-AVI-011.

Vulnérabilité dans Mirosoft Windows

Annonce de sécurité sur le bloc-notes McAfee du 28 mars 2007


<TT>BrightStor ARCServe Backup</TT>  versions <TT>11.5 SP2 build 4237</TT> et antérieures.

## Description

Un manque de contrôle des requêtes RPC (Remote Procedure Call) passées
au composant mediasvr.exe de BrightStor ARCServe Backup permettrait à un
utilisateur distant mais provenant du même réseau d'exécuter du code
arbitraire par le biais d'une requête RPC construite de façon
particulière. Il existe une preuve de faisabilité mettant en œuvre cette
vulnérabilité sur l'Internet.

Cette vulnérabilité a été corrigée et a fait l'objet de l'avis
CERTA-2007-AVI-188.

## Contournement provisoire

Dans la mesure où cette vulnérabilité offre à l'attaquant la possibilité
de contrôler la machine à distance, il convient de :

-   ne pas rendre accessible depuis l'Internet la machine mettant en
    œuvre BrightStor ARCServe Backup ;
-   restreindre l'accès au service mediasvr.exe aux seules machines
    autorisées à dialoguer via RPC avec lui.

## Solution

Se référer au bulletin de sécurité de l'éditeur (voir Documentation).

Avis CERTA-2007-AVI-188 du 25 avril 2007 :

version initiale.

ajout de la section Solution, des références au bulletin de sécurité Computer Associates et des entrées CVE.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans BrightStor ARCServe Backup permettrait à un
utilisateur distant d'exécuter du code arbitraire sur la machine
vulnérable.

Vulnérabilité dans BrightStor ARCServe Backup

Bulletin de sécurité Computer Associates du 24 avril 2007

Bulletin de sécurité Secunia SA24682 du 30 mars 2007


Microsoft Windows Server 2003 Service Pack 1 ;

Microsoft Windows Server 2003 Service Pack 2.

Microsoft Windows 2000 Service Pack 4 ;

## Description

Une vulnérabilité a été identifiée dans Microsoft DNS Server. Un
débordement de tampon est possible via des appels RPC (pour Remote
Procedure Call). Cette vulnérabilité permet d'exécuter du code
arbitraire à distance avec les droits de l'utilisateur local SYSTEM.

Elle peut être exploitée via les ports RPC, de 1024 à 5000 (TCP ou UDP)
ou, par un utilisateur authentifié, via les ports 445/TCP et 139/TCP.

Le trafic des serveurs DNS devrait être limité aux ports dédiés, i.e. 53
TCP/UDP. Cependant, dans de nombreux cas, les serveurs DNS Microsoft
sont utilisés dans les réseaux locaux, et cumulent d'autres services
(FTP, HTTP, etc.). Ils peuvent aussi être installés par défaut avec un
Active Directory. Tout ceci contribue à rendre le filtrage de ces
machines difficiles à maîtriser.

Des codes d'exploitation sont actuellement largement diffusés sur
l'Internet. Cette vulnérabilité a été évoquée dans le bulletin
d'actualité CERTA-2007-ACT-015.

L'avis CERTA-2007-AVI-209 sorti le 09 mai 2007 signale la publication de
correctifs détaillés dans le bulletin de sécurité Microsoft MS07-029.

## Contournement provisoire

Quelques contournements sont possibles pour limiter les risques :

1.  Modifier dans la clé de registre suivante

        HKLM\SYSTEM\CurrentControlSetService\Services\DNS\Parameters

    la valeur du paramètre RpcProtocol :

    -   la valeur 4 permet d'interdire la gestion et la configuration
        distante du serveur DNS par RPC ou WMI. Cependant, cela est
        toujours possible localement, ou par un accès Terminal Serveur.
    -   la valeur 0 désactive toute possibilité de gestion DNS par RPC
        (administration locale et configuration). Ce choix est donc
        fortement recommandé dans la mesure du possible.

2.  Vérifier la politique de filtrage vis-à-vis des serveurs DNS
    Microsoft, et notamment les règles qui concernent le trafic à
    destination des ports TCP ou UDP 445, 139 et de 1024 à 5000. Si
    ceux-ci ne sont pas nécessaires, ils doivent être bloqués.

3.  Utiliser des outils de surveillance périphériques à jour
    (renifleurs, ou sondes de détection d'intrusions), et analyser les
    journaux du serveur, afin de déterminer toute activité suspecte.

## Solution

Se référer au bulletin de sécurité Microsoft MS07-029 pour l'application
des correctifs (cf. Documentation).

Avis CERTA-2007-AVI-209 du 09 mai 2007 :

Bulletin Microsoft MS07-029 du 08 mai 2007 :

Alerte de sécurité de l'US-CERT TA07-103A du 13 avril 2007    :

Document du CERTA CERTA-2007-ACT-015 du 13 avril 2007 :

version initiale.

ajout de la surveillance du port 139/TCP et ajout de la référence au bulletin de sécurité de Microsoft.

ajout des références aux bulletins MS07-029 et CERTA-2007-AVI-209.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été identifiée dans Microsoft DNS Server. Un
débordement de tampon est possible via l'interface RPC (pour Remote Procedure Call). Cette vulnérabilité permet
d'exécuter du code arbitraire à distance avec les droits de
l'utilisateur local SYSTEM.

Vulnérabilité de Microsoft DNS Server

Avis de sécurité Microsoft 935964 du 12 avril 2007


Microsoft Internet Information Services  (IIS) version 5.

## Description

Une vulnérabilité a été découverte dans le composant d'indexation
(Indexing Service) des serveurs Microsoft IIS. Dans sa configuration par
défaut, il est en effet possible d'accéder à des fichiers protégés ou au
code source des pages asp d'un tel serveur si la procédure
d'authentification mise en place est de type « authentification basique
» (basic authentication) ou authentification NTLM et si les droits NTFS
le permettent.

En effet, le service d'indexation n'utilise pas les procédures
d'authentification d'IIS pour accéder aux fichiers indexés mais celle du
système de fichiers uniquement. Normalement, on pourrait se protéger de
cela en requérant l'authentification basique ou NTLM voulue directement
sur le fichier .htw qui est appelé pour afficher le contenu indexé.
Toutefois, il existe un fichier virtuel Null.htw qui n'est pas
configurable; dans la configuration par défaut, celui-ci peut donc être
appelé par un utilisateur malveillant pour afficher du contenu indexé au
moyen d'un requête spécialement construite.

Le composant d'indexation est installé par défaut dans IIS 5.

## Contournement provisoire

Il est fortement conseillé de désinstaller ou de désactiver le service
d'indexation.

Dans le cas contraire, d'autres contournements sont possibles :

-   configurer le service d'indexation correctement pour qu'il n'utilise
    pas le fichier Null.htw et requérir l'authentification sur le
    fichier .htw utilisé ;
-   mettre en oeuvre le contrôle de droits d'accès directement sur les
    fichiers et les répertoires du serveur, via les mécanismes d'ACL
    fournis par NTFS ;
-   effectuer un filtrage des URLs afin de rendre inaccessible l'accès à
    des fichiers dont l'extension est .htw ;
-   utiliser un serveur web alternatif.

Se référer au bulletin de sécurité de l'éditeur pour plus de détails.

## Solution

La solution consiste à désinstaller ou à désactiver le service
d'indexation et le surlignage des éléments correspondants. Information
Internet Services version 5.0 ( IIS ) n'est plus supporté par Microsoft.
La version 5.1 de IIS n'est pas impactée car le service d'indexation et
le surlignage des éléments correspondants ne sont pas installés. La
version 6.0 n'est pas impactée car le service d'indexation est installé
mais le surlignage des éléments correspondants est désactivé. La version
7.0 est aussi non impactée car le service d'indexation n'est pas
installé et le surlignage des éléments correspondants est désactivé
lorsque le service d'indexation est installé.

Bulletin kb328832 de Microsoft du 05 juin 2007, mis à jour    le 5 mars 2008 :

version initiale.

mise à jour des produits affectés, de la description et du contournement provisoire.

mise à jour des produits affectés et fermeture de l'alerte.

Summary:
Une vulnérabilité a été découverte dans le composant d'indexation des
serveurs Microsoft IIS. Elle permet d'accéder à des fichiers via un
contournement de la politique d'authentification mise en place.

Vulnérabilité du composant d'indexation des serveurs Microsoft IIS

Alerte du SANS du 03 juin 2007


Firefox versions 2.0.0.4 et  antérieures.

## Description

Plusieurs vulnérabilités dont certaines ont déjà été abordées dans nos
bulletins d'actualités sont présentes dans le navigateur Mozilla Firefox
:

-   une première concerne une erreur mal corrigée relative au contexte
    de navigation ressource:// qui permettrait un accès à certains
    fichiers de la machine vulnérable. Un article dans le bulletin
    d'actualité CERTA-2007-ACT-020 détaille cette vulnérabilité. Il est
    à noter que la faille n'est que partiellement corrigée et permet
    encore l'accès à certains fichiers.
-   une seconde concerne le système de mise à jour des extensions dans
    Firefox. Un manque de contrôle dans la manière dont les mises à jour
    des extensions sont effectuées permet l'utilisation de protocoles
    non-sûrs. Les détails de cette faille sont présentés dans
    CERTA-2007-ACT-022.
-   une troisième et dernière vulnérabilité plus récente se rapporte à
    la gestion des IFRAMES et permettrait d'associer une gestion
    arbitraire d'événements comme des frappes claviers dans le contexte
    d'une page particulière. Ainsi, il serait possible de capturer des
    éléments fournis par un utilisateur dans un formulaire et cela à son
    insu.
-   une quatrième vulnérabilité est dûe au fait que Firefox ne filtre
    pas correctement les extensions des fichiers qui lui sont fournis en
    URL. Il est ainsi possible de modifier le comportement de Firefox
    vis-à-vis d'un fichier par le biais d'une extension construite de
    façon particulière. Cette faille permet donc à un utilisateur
    malveillant d'exécuter du code arbitraire à distance.

## Contournement provisoire

De façon générale et en particulier pour la troisième vulnérabilité, il
est fortement recommandé de désactiver par défaut le support des
Javascript dans Firefox.
L'accumulation de vulnérabilités dans Firefox peut rendre également
préférable l'utilisation d'un navigateur alternatif autre que ceux basés
sur le moteur de rendu de Firefox : Gecko.

## Solution

Se reporter à la mise à jour de Mozilla Firefox, version 2.0.0.5,
publiée le 17 juillet 2007, et détaillée dans l'avis CERTA-2007-AVI-318.

Bulletin d'actualité CERTA-2007-ACT-022 du 01 juin 2007 :

Avis du CERTA CERTA-2007-AVI-318 du 18 juillet 2007 :

Bulletin d'actualité CERTA-2007-ACT-020 du 18 mai 2007 :

Rapport de coquille Mozilla #382686 :

Rapport de coquille Mozilla #381300 :

version initiale ;

ajout de la quatrième vulnérabilité relative aux extensions de fichiers ;

ajout des références CVE.

ajout de la section <TT>Solution</TT>, suite à la publication de la nouvelle version 2.0.0.5 de Firefox.

Exécution de code arbitraire à distance

Summary:
Plusieurs vulnérabilités sont présentes dans Mozilla Firefox et
permettent à un utilisateur distant de porter atteinte à la
confidentialité des données ou potentiellement d'exécuter du code
arbitraire sur la machine vulnérable.

Multiples vulnérabilités dans Mozilla Firefox


Les navigateurs utilisant le moteur de rendu de Mozilla  (<TT>Gecko</TT>) sont vulnérables sur Microsoft Windows XP SP2,  notamment :

Mozilla Firefox 2.0.0.5 ;

Netscape Navigator 9.

## Description

Une vulnérabilité a été identifiée concernant Mozilla Firefox
fonctionnant sur des systèmes Windows XP SP2 sur lesquels Internet
Explorer 7 est installé. Il n'est pas exclu que d'autres systèmes
d'exploitation et navigateurs soient impactés.

Par le biais d'une URI spécifiquement construite, un attaquant peut
faire en sorte que le traitement d'URI applicatives (par exemple
mailto:, news:, nntp:, snews) soit réalisé comme celui d'une URI de type
FileType. Une personne malintentionnée peut ainsi exécuter des commandes
arbitraires à distance via des liens malveillants.

Des preuves de faisabilité ont été publiées sur l'Internet et peuvent
être trivialement modifiées pour effectuer des actions malveillantes.

## Contournement provisoire

## 5.1 Pour les utilisateurs

Le contournement provisoire consiste à désactiver l'appel par Mozilla
Firefox d'applications externes pour mettre en œuvre certains
protocoles.

-   dans la barre d'adresse de Firefox, taper about:config ;
-   dans le filtre, taper protocol pour obtenir la liste des options
    utiles ;
-   mettre les valeurs network.protocol-handler.external.XX (eg.
    network.protocol-handler.external.snews) ainsi que
    network.protocol-handler.external-default à "false" en double
    cliquant dessus ;

Un autre contournement moins contraignant consiste à forcer l'affichage
d'avertissements en fixant les champs
network.protocol-handler.warn-external.XX à "true".

Le CERTA rappelle également l'importance de vérifier les liens, de
cliquer avec précaution, ou de taper manuellement l'adresse. Il est
aussi recommandé de lancer le navigateur avec un utilisateur disposant
de privilèges limités.

## 5.2 Pour les administrateurs

Le contournement consiste à bloquer tout trafic utilisant des URI non
classiques (en général, tout sauf http:, https:, ftp:). Il peut être
possible de coupler ce filtre en le limitant aux navigateurs utilisant
le moteur de rendu Gecko (filtrer sur le referrer).

## Solution

Se reporter à la mise à jour de Mozilla Firefox, version 2.0.0.6,
publiée le 30 juillet 2007 et détaillée dans l'avis CERTA-2007-AVI-337.

Bulletin de l'US CERT VU#783400 du 26 juillet 2007 :

Bulletin d'actualité CERTA-2007-ACT-030 du 27 juillet 2007    :

Bulletin de l'US CERT VU#403150 du 27 juillet 2007 :

Avis du CERTA CERTA-2007-AVI-337 du 31 juillet 2007 :

Rapport de coquille Mozilla #389580 du 25 juillet 2007 :

version initiale ;

mise à jour du contournement provisoire pour administrateurs et ajout d'une référence ;

ajout de la section solution suite à la publication de la nouvelle version 2.0.0.6 de Firefox.

Exécution de commandes arbitraires à distance

Summary:
Une vulnérabilité dans le traitement de certaines URI sous Mozilla
Firefox sur Windows XP SP2 permet à une personne malintentionnée
d'exécuter des commandes arbitraires à distance.

Vulnérabilité dans Mozilla Firefox


Apple QuickTime 7.2 et versions antérieures sur Microsoft  Windows.

## Description

Une vulnérabilité a été identifiée dans Apple QuickTime. Ce lecteur
multimédia permet à une personne de spécifier un média à lire après
l'exécution du média courant (option QTNEXT d'un fichier multimédia).
Cette fonctionnalité peut cependant être détournée pour exécuter du code
Javascript, et donc du code arbitraire sur le poste de l'utilisateur.
L'interpréteur Javascript utilisé est le navigateur Internet par défaut
de l'utilisateur.

Des codes de démonstration sont disponibles sur l'Internet et
fonctionnent si Mozilla Firefox est le navigateur par défaut, sur
Microsoft Windows. Les autres systèmes d'exploitation ne semblent pas
concernés mais le navigateur Netscape Navigator, basé sur le même moteur
de rendu que Firefox, est aussi vulnérable.

Pour résumer, les problèmes rencontrés sont :

-   QuickTime n'offre pas la possibilité de bloquer le Javascript ;
-   QuickTime associé à un navigateur comme Mozilla Firefox ne respecte
    pas la politique du navigateur liée au Javascript.

Il est important de noter que l'utilisation d'un navigateur alternatif
ne contourne pas le problème si Mozilla Firefox est défini comme
navigateur par défaut.

## Contournements provisoires

Quelques contournements sont envisageables :

1.  -   ouvrir la fenêtre about:config ;
    -   filtrer les options en tapant protocol ;
    -   mettre l'option network.protocol-handler.external.javascript à
        la valeur true.

    Ceci n'empêche pas l'exploitation mais avertit l'utilisateur
    lorsqu'une application externe appelle l'interpréteur Javascript de
    Firefox.

2.  l'utilisation d'une extension telle que NoScript peut bloquer
    l'exécution de code si l'option Forbid scripts globally est activée.

3.  définir un navigateur alternatif non basé sur le moteur de rendu
    Gecko comme navigateur par défaut. Des tests internes au CERTA ont
    montré que Seamonkey 1.1.4 ne semble pas vulnérable mais il convient
    de rester prudent.

Le meilleur contournement à la date de rédaction de cette alerte
consiste à désinstaller complètement l'application QuickTime dans
l'attente d'un correctif d'Apple et/ou Mozilla.

## Solution

L'éditeur Mozilla a publié un correctif pour le navigateur Firefox
(version 2.0.0.7) qui empêche l'exécution de scripts arbitraires via une
ligne de commande avec le paramètre -chrome.

Apple a également publié un correctif (7.2.0.245) pour Quicktime. (cf.
section Documentation).

Entrée sur le bloc-notes Mozilla du 12 septembre 2007 :      /

Bulletin de sécurité Mozilla MFSA 2007-28 du 18 septembre    2007 :

Avis du CERTA CERTA-2007-AVI-407 du 19 septembre 2007 :

Bulletin de sécurité Apple 306560 du 03 octobre 2007 :

Rapport de bogue #395942 de Mozilla :

Bulletin d'actualité CERTA-2007-ACT-037 - « Vulnérabilité    sur Quicktime et Firefox » :

Bulletin d'actualité CERTA-2007-ACT-011 - « Le Javascript    est omniprésent » :

version initiale ;

mise à jour des systèmes affectés, de la description, des contournements et ajout de références ;

mise à jour de la solution et de la documentation ;

ajout d'une référence CVE et du correctif pour Quicktime.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité touchant Apple QuickTime permet à une personne
malintentionnée d'exécuter du code arbitraire à distance.

Vulnérabilité dans Apple QuickTime


Windows XP SP 2 avec Internet Explorer    7 installé ;

Windows 2003 Server SP2 avec Internet    Explorer 7 installé.

D'autres versions de Windows peuvent être affectées, le  principal prérequis étant la présence d'Internet Explorer 7.

## Description

Une vulnérabilité dans le traitement des URI dans Windows permet
l'exécution de commandes à distance. La présence d'Internet Explorer 7
(IE7) est nécessaire pour l'exploitation de cette vulnérabilité, car la
gestion des URI est liée à ce programme. Cette alerte est une extension
de l'alerte CERTA-2007-ALE-013, plusieurs applications étant concernées
par cette vulnérabilité. Plus précisément, les chaînes de caractères
passées en argument de certaines URI ne sont contrôlées ni par IE7 qui
en assure le traitement, ni par un certain nombre d'applications (comme
Acrobat Reader, Miranda, etc.) qui appellent la fonction vulnérable de
Windows.

Il n'existe pour le moment aucun contournement provisoire pour ce
problème qui n'ait de conséquences lourdes pour le fonctionnement du
système et des applications. Il est toutefois possible que des éditeurs
proposent des correctifs ou des contournements pour leur application,
comme ce fut le cas pour Mozilla Firefox (voir alerte
CERTA-2007-ALE-013) ou Adobe Reader (voir Documentation).

Mise à jour du 11 octobre 2007 :

Microsoft vient de publier l'avis de sécurité 943521 confirmant le
problème.

Mise à jour du 24 octobre 2007 :

Adobe publie un correctif pour la version 8.1 des produits vulnérables.

Mise à jour du 14 novembre 2007 :

Microsoft publie un correctif décrit dans son bulletin MS07-061. Ce
dernier est présenté dans l'avis CERTA-2007-AVI-489.

## Contournements provisoires

Les contournements ne sont pas simples, comme il a été mentionné dans la
section ci-dessus. Néanmoins, quelques mesures peuvent être entreprises
pour limiter les risques :

-   des règles de filtrage concernant des liens suspects peuvent être
    mises en place au niveau des passerelles Web ou de messagerie qui
    inspectent le contenu. Par exemple, le champ mailto: ne doit pas
    être a priori suivi d'une chaîne de caractère contenant ../.. ou %,
    mais d'une adresse électronique valide. Des règles peuvent également
    être précisées pour les champs de type : http:, etc. De manière
    générale, tout type de liens qui n'est pas attendu ou explicitement
    autorisé doit être filtré.
-   les fichiers aux formats PDF peuvent être convertis dans d'autres
    formats (HTML, PS, TXT) ;
-   des clés de registre peuvent être modifiées au niveau des postes
    clients pour l'interprétation des champs protocolaires. Cette
    solution a été abordée dans une alerte publiée par Adobe. Elle est
    cependant assez radicale, et peut provoquer plusieurs
    dysfonctionnements.

## Solution

Appliquer les correctifs décrits dans le bulletin de sécurité MS07-061
de Microsoft publié le 13 novembre 2007.

Bulletin de sécurité Adobe ASPB07-18 du 22 octobre 2007 :

Bulletin de sécurité Microsoft MS07-061 du 13 novembre 2007    :

Avis CERTA-2007-AVI-489 du 14 novembre 2007 :

Commentaires de Microsoft aux développeurs concernant la    gestion des manipulateurs de protocoles :

Document du CERTA CERTA-2007-AVI-455 du 24 octobre 2007 :

Avis de sécurité Microsoft 943521 du 10 octobre 2007 :

Alerte CERTA-2007-ALE-013 du 31 juillet 2007 :

Bulletin de sécurité Adobe du 05 octobre 2007 :

version initiale.

ajout de l'avis 943521 de Microsoft et de la référence CVE associée.

ajout de l'avis ASPB07-18 d'Adobe et de la référence CVE associée.

ajout de la référence au bulletin MS07-061 de Microsoft.

Summary:
Une vulnérabilité dans la gestion des URI dans Windows permet
l'exécution de commandes arbitraires à distance.

Vulnérabilité dans le traitement des URI sous Windows


## Description

Une vulnérabilité a été découverte dans la version 10g R2 de la base de
données Oracle. Cette vulnérabilité est due à un débordement de mémoire
au niveau de la procédure XDB_PITRIG_PKG.PITRIG_DROPMETADATA, via une
très grande taille des arguments OWNER et NAME.

L'exploitation de cette vulnérabilité conduit à l'exécution de code
arbitraire à distance.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Oracle du 15 janvier 2008 :

version initiale.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité d'Oracle 10g permet à une
personne distante d'exécuter du code arbitraire.

Vulnérabilité d'Oracle 10g

Bulletin de sécurité iDefense du 07 novembre 2007


La version 7.5 d'Apple iTunes ainsi que les versions antérieures.

La version 7.3 d'Apple QuickTime ainsi que les versions antérieures ;

## Description

Une vulnérabilité a été identifiée dans le logiciel multimédia Apple
QuickTime. Ce dernier ne manipulerait pas correctement un champ dans
l'en-tête des réponses retournées par le serveur de flux RTSP.

RTSP (pour Real Time Streaming Protocol) est un protocole permettant
d'établir et de contrôler des flux synchronisés de médias continus
(streaming), qu'ils soient audio ou vidéo. Il est conceptuellement très
proche de HTTP : il est à état et utilise la notion de session.

Lorsque le client envoie une requête au serveur, ce dernier retourne une
réponse, avec un champ Content-Type.

Apple QuickTime n'interpréterait pas correctement la valeur de ce champ.
Cette vulnérabilité peut ainsi être exploitée par une personne distante,
qui aura pris soin de mettre en place un serveur de flux répondant par
cette vulnérabilité. L'utilisateur amené à récupérer le flux multimédia,
par un lien par exemple provoquera le dysfonctionnement, voire
l'exécution de code arbitraire sur son sytème vulnérable.

## Contournement provisoire

## 5.1 De manière générale

Il est préférable, dans l'attente d'un correctif, d'utiliser un lecteur
multimédia alternatif.

L'administrateur du réseau peut également vérifier que les flux sortants
TCP/UDP vers le port 554 sont bloqués. Ces ports sont ceux par défaut
attribués au protocole Real Time Streaming Protocol, mais peuvent être
changés et remplacés par n'importe quel autre port convenu côté serveur
et côté client. Cette mesure n'est donc pas suffisante.

Les navigateurs offrent également la possibilité de désactiver les
modules ou plugins.

Les recommandations standards s'appliquent toujours : l'interprétation
de codes dynamiques comme Javascript doit être désactivée par défaut.

## 5.2 Sous Microsoft Windows :

-   Désactiver la prise en charge des liens rtsp:// dans Quicktime en
    décochant la case
    Préférences de Quicktime -\> Types de fichiers -\> Diffusion -\>
    Descripteur de flux RTSP ;
-   Désactiver l'association faite entre le type de fichier et
    QuickTime, en supprimant les clés de registre de la forme
    HKEY_CLASSES_ROOT/TT\>

## 5.3 Sous Apple MacOS X :

-   Désactiver la prise en charge des liens rtsp:// dans QuickTime en
    décochant la case
    Préférences de Quicktime -\> Avancé -\> Réglages MIME -\> Diffusion
    -\> Descripteur de flux RTSP ;

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Désinstaller des modules ou plugins sous Mozilla :

Site de téléchargement d'Apple QuickTime :

Note de vulnérabilité de l'US-CERT VU#659761 du 24 novembre    2007 :

Bulletin de sécurité QuickTime du 13 décembre 2007 :

Alerte CERTA-2007-ALE-001 du 04 janvier 2007 :

RFC 2326, "Real Time Streaming Protocol" :

version initiale.

ajout de la référence au bulletin de sécurité QuickTime.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été identifiée dans le logiciel multimédia Apple
QuickTime. Ce dernier ne manipule pas correctement un champ dans
l'en-tête des réponses retournées par le serveur de flux RTSP. Une
personne malveillante pourrait inciter un utilisateur à se rendre sur un
tel serveur, ce qui pourrait alors perturber son système ou permettre à
l'attaquant d'exécuter des commandes arbitraires.

Vulnérabilité dans la gestion RTSP d'Apple QuickTime

Bulletin de sécurité de l'US-CERT VU#659761 du 24 novembre 2007