Microsoft Windows Server 2003 ;

Microsoft Windows XP.

## Description

Une erreur dans le contrôle ActiveX Microsoft Video (msvidctl.dll) en
charge de la gestion de flux vidéo permet à une personne distante
malintentionnée d'exécuter du code arbitraire via une page web
spécialement construite.

Cette vulnérabilité est déjà exploitée sur l'Internet et ne necéssite
pas forcément de contenu vidéo sur la page visitée.

## Contournement provisoire

Les moyens de contournement suivants sont disponibles :

-   Microsoft a publié un contournement provisoire permettant de
    désactiver le contrôle ActiveX mis en cause. Une application est
    disponible sur le bulletin de sécurité Microsoft (cf. la section
    Documentation).

    Afin de désactiver le contrôle ActiveX, il faut placer la valeur
    Compatibility Flags pour chaque Class Identifier suivants comme
    décrit ci-dessous :

        [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\
        {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}]
        "Compatibility Flags"=dword:00000400

    Liste des Class Identifiers :

    {011B3619-FE63-4814-8A84-15A194CE9CE3}

    {0149EEDF-D08F-4142-8D73-D23903D21E90}

    {0369B4E5-45B6-11D3-B650-00C04F79498E}

    {0369B4E6-45B6-11D3-B650-00C04F79498E}

    {055CB2D7-2969-45CD-914B-76890722F112}

    {0955AC62-BF2E-4CBA-A2B9-A63F772D46CF}

    {15D6504A-5494-499C-886C-973C9E53B9F1}

    {1BE49F30-0E1B-11D3-9D8E-00C04F72D980}

    {1C15D484-911D-11D2-B632-00C04F79498E}

    {1DF7D126-4050-47F0-A7CF-4C4CA9241333}

    {2C63E4EB-4CEA-41B8-919C-E947EA19A77C}

    {334125C0-77E5-11D3-B653-00C04F79498E}

    {37B0353C-A4C8-11D2-B634-00C04F79498E}

    {37B03543-A4C8-11D2-B634-00C04F79498E}

    {37B03544-A4C8-11D2-B634-00C04F79498E}

    {418008F3-CF67-4668-9628-10DC52BE1D08}

    {4A5869CF-929D-4040-AE03-FCAFC5B9CD42}

    {577FAA18-4518-445E-8F70-1473F8CF4BA4}

    {59DC47A8-116C-11D3-9D8E-00C04F72D980}

    {7F9CB14D-48E4-43B6-9346-1AEBC39C64D3}

    {823535A0-0318-11D3-9D8E-00C04F72D980}

    {8872FF1B-98FA-4D7A-8D93-C9F1055F85BB}

    {8A674B4C-1F63-11D3-B64C-00C04F79498E}

    {8A674B4D-1F63-11D3-B64C-00C04F79498E}

    {9CD64701-BDF3-4D14-8E03-F12983D86664}

    {9E77AAC4-35E5-42A1-BDC2-8F3FF399847C}

    {A1A2B1C4-0E3A-11D3-9D8E-00C04F72D980}

    {A2E3074E-6C3D-11D3-B653-00C04F79498E}

    {A2E30750-6C3D-11D3-B653-00C04F79498E}

    {A8DCF3D5-0780-4EF4-8A83-2CFFAACB8ACE}

    {AD8E510D-217F-409B-8076-29C5E73B98E8}

    {B0EDF163-910A-11D2-B632-00C04F79498E}

    {B64016F3-C9A2-4066-96F0-BD9563314726}

    {BB530C63-D9DF-4B49-9439-63453962E598}

    {C531D9FD-9685-4028-8B68-6E1232079F1E}

    {C5702CCC-9B79-11D3-B654-00C04F79498E}

    {C5702CCD-9B79-11D3-B654-00C04F79498E}

    {C5702CCE-9B79-11D3-B654-00C04F79498E}

    {C5702CCF-9B79-11D3-B654-00C04F79498E}

    {C5702CD0-9B79-11D3-B654-00C04F79498E}

    {C6B14B32-76AA-4A86-A7AC-5C79AAF58DA7}

    {CAAFDD83-CEFC-4E3D-BA03-175F17A24F91}

    {D02AAC50-027E-11D3-9D8E-00C04F72D980}

    {F9769A06-7ACA-4E39-9CFB-97BB35F0E77E}

    {FA7C375B-66A7-4280-879D-FD459C84BB02}

    Remarque : Cette désactivation peut empêcher la visualisation de
    vidéos avec Internet Explorer.

-   utiliser un navigateur alternatif.

Rappel : d'une manière générale la désactivation des contrôles ActiveX
par défaut reste une bonne pratique.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft MS09-032 du 14 juillet 2009    :

Lien de téléchargement du contournement provisoire    Microsoft :

Avis CERTA-2009-AVI-278 du 15 juillet 2009 :

version initiale.

ajout de la référence au bulletin de sécurité Microsoft MS09-032.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans le contrôle ActiveX
Microsoft Video permet à une personne malintentionnée d'exécuter du code
arbitraire à distance.

Vulnérabilité dans le contrôle ActiveX Microsoft Video

Bulletin de sécurité Microsoft 972890 du 06 juillet 2009


Microsoft Internet Security and Acceleration Server 2006 SP1 ;

Microsoft Office 2003 SP3 ;

Microsoft Internet Security and Acceleration Server 2006 ;

Microsoft Office XP Web Components SP3 ;

Microsoft Office Small Business Accounting 2006.

Microsoft Internet Security and Acceleration Server 2004 Standard & Enerprise Edition SP3 ;

Microsoft Office 2003 Web Components SP3 ;

Microsoft Office Web Component pour Microsoft Office 2007 SP1 ;

Microsoft Office XP SP3 ;

Internet Security and Acceleration Server 2006 Supportability Update ;

## Description

Une vulnérabilité de nature non précisée par l'éditeur dans Microsoft
Office Web Components Control permet à une personne malintentionnée
distante d'exécuter du code arbitraire, avec les droits de
l'utilisateur, au moyen d'une page web spécialement écrite visualisée
dans Internet Explorer.

## Contournement provisoire

Les moyens de contournement suivants sont disponibles :

-   Microsoft a publié un contournement provisoire afin de désactiver le
    composant mis en cause. Une application est disponible sur le
    bulletin de sécurité Microsoft (cf. la section Documentation). Afin
    de désactiver le composant, il faut placer la valeur Compatibility
    Flags pour chaque Class Identifier suivants comme décrit ci-dessous
    :

        [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\
        {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}]
        "Compatibility Flags"=dword:00000400

    Liste des Class Identifiers :

    {0002E541-0000-0000-C000-000000000046}

    {0002E559-0000-0000-C000-000000000046}

-   utiliser un navigateur alternatif.

## Solution

Se référer au bulletin de sécurité MS09-043 de Microsoft pour
l'obtention des correctifs (cf. section Documentation).

Avis CERTA-2009-AVI-331 du 12 août 2009 :

Bulletin de sécurité Microsoft MS09-043 du 11 août 2009 :

version initiale.

ajout de la solution.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Microsoft Office Web
Components Control permet à un utilisateur malveillant d'exécuter
du code arbitraire à distance.

Vulnérabilité dans Microsoft Office Web Components Control

Bulletin de sécurité Microsoft 973472 du 13 juillet 2009


## Description

Une vulnérabilité affectant le traitement de la balise \<font\> par
l'interpréteur JavaScript permet à une personne malveillante d'exécuter
du code arbitraire à distance au moyen d'une page web spécialement
écrite.

Un code permettant l'exploitation de cette vulnérabilité est disponible
sur l'Internet.

## Contournement provisoire

Dans l'attente d'un correctif le CERTA recommande d'utiliser un
navigateur alternatif ou de naviguer avec le JavaScript désactivé.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Référence NIST du CVE-2009-2477 :

Article de sécurité Mozilla du 14 juillet :

Bulletin de sécurité de la fondation Mozilla MFSA 2009-41    du 16 juillet 2009 :

version initiale.

ajout des liens Mozilla et CVE.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité affectant le traitement d'une balise HTML permet à une
personne malveillante d'exécuter du code arbitraire à distance.

Vulnérabilité dans Mozilla Firefox

Bulletin de sécurité Secunia 35798 du 14 juillet 2009


Adobe Acrobat 9.x ;

Adobe Reader 9.x ;

Adobe Flash Player 10.x.

Cette vulnérabilité peut affecter les systèmes d'exploitation  suivants :

Microsoft Windows ;

Apple Mac OS X ;

Gnu/Linux.

## Description

Une vulnérabilité causée par une erreur dans le traitement des fichiers
au format SWF (Shockwave Flash) permet à une personne malintentionnée de
provoquer un déni de service ou d'exécuter du code arbitraire.

Cette vulnérabilité peut être exploitée à distance au moyen d'un fichier
SWF ou PDF spécialement construit.

Des cas d'exploitation liés à cette vulnérabilité sont d'ores et déjà
recensés sur l'Internet.

## Contournement provisoire

Désactiver l'interprétation des animations Flash ainsi que les
animations 3D.

Afin de limiter l'impact lié à l'exploitation de cette vulnérabilité,
les contournements décrits ci-dessous, non exhaustifs, peuvent être
appliqués.

Remarque : la mise en œuvre de ces contournements de sécurité peut avoir
des effets de bord sur l'activité du système. Il est important de les
tester avant tout déploiement.

## 5.1 Adobe Acrobat et Adobe Reader pour Microsoft Windows

-   renommer, supprimer ou retirer les droits d'accès des fichiers
    suivants :

    <span
    class="small">`C:\Program      Files\Adobe\Reader 9.0\Reader\authplay.dll`
    `C:\Program Files\Adobe\Reader      9.0\Reader\rt3d.dll`</span>

## 5.2 Adobe Acrobat et Adobe Reader pour Mac OS X

-   renommer, supprimer ou retirer les droits d'accès des fichiers
    suivants :

    <span
    class="small">`/Applications/Adobe Reader      9/Adobe      Reader.app/Contents/Frameworks/AuthPlayLib.bundle`
    `/Applications/Adobe Reader 9/Adobe      Reader.app/Contents/Frameworks/Adobe3D.framework`</span>

## 5.3 Adobe Acrobat et Adobe Reader pour GNU/Linux

-   renommer, supprimer ou retirer les droits d'accès des fichiers
    suivants :

    <span
    class="small">`/opt/Adobe/Reader9/Reader/intellinux/lib/libauthplay.so`
    `/opt/Adobe/Reader9/Reader/intellinux/lib/librt3d.so`</span>

Remarque : l'emplacement de ces fichiers peut varier en fonction des
distributions GNU/Linux et de la procédure d'installation de
l'application.

## 5.4 ActiveX pour Internet Explorer

Désactiver le contrôle ActiveX. Il faut placer la valeur Compatibility
Flags pour chaque Class Identifier comme décrit ci-dessous :

    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}]
    ``Compatibility Flags''=dword:00000400

Class Identifiers à désactiver :

    {D27CDB6E-AE6D-11cf-96B8-444553540000}

Ou rechercher et supprimer le fichier flash10\*.ocx.

## 5.5 Module pour Mozilla Firefox

Désactiver le module Shockwave Flash dans le navigateur Mozilla Firefox
:

-   Dans Outils, puis Modules complémentaires ;
-   selectionner le module Shockwave Flash et le désactiver.

Ou rechercher et supprimer le fichier flashplayer.xpt.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Note de vulnérabilité de l'US-CERT VU#259425 du 22 juillet    2009 :

Bulletin de sécurité Adobe APSA09-03 du 22 juillet 2009 :

Bulletin de sécurité Adobe APSA09-03 du 30 juillet 2009 :

Avis CERTA-2009-AVI-305 du 31 juillet 2009 :

version initiale ;

ajout de la solution.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité présente dans certains produits Adobe permet à un
utilisateur distant malintentionné de provoquer un déni de service ou
d'exécuter du code arbitraire.

Vulnérabilité Shockwave Flash pour les produits Adobe

Bloc-notes d'Adobe du 21 juillet 2009


Mozilla Thunderbird version 2.0.0.23 et versions antérieures.

## Description

De multiples vulnérabilités sont présentes dans la version 2.0.0.23 et
dans les versions antérieures du client de messagerie Mozilla
Thunderbrid. Ces vulnérabilités permettent de réaliser des actions
malveillantes telles que le contournement de la politique de sécurité,
l'élévation de privilège, ou encore l'exécution de code arbitraire à
distance.

Pour le détail de chaque vulnérabilité, se reporter aux bulletins de
sécurité de l'éditeur (cf. section Documentation).

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité de la fondation Mozilla    2009/mfsa2009-19 du 21 avril 2009 :

Bulletin de sécurité de la fondation Mozilla    2009/mfsa2009-34 du 21 juillet 2009 :

Bulletin de sécurité de la fondation Mozilla    2009/mfsa2009-42 du 01 août 2009 :

Bulletin de sécurité de la fondation Mozilla    2009/mfsa2009-43 du 01 août 2009 :

Bulletin de sécurité de la fondation Mozilla    2009/mfsa2009-18 du 21 avril 2009 :

Bulletin d'actualité du CERTA numéro CERTA-2009-ACT-032 du    07 août 2009 :

Bulletin de sécurité de la fondation Mozilla    2009/mfsa2009-31 du 11 juin 2009 :

version initiale ;

prise en compte de la version 2.0.0.23 ;

fermeture de l'alerte, suite à la correction de l'éditeur.

Injection de code indirecte

Exécution de code arbitraire à distance

Élévation de privilèges

Contournement de la politique de sécurité

Summary:
De multiples vulnérabilités conduisant, entre autres, à une exécution de
code arbitraire à distance ont été découvertes dans Mozilla Thunderbird.

Multiples vulnérabilités du client de messagerie Mozilla Thunderbird

Bulletins de sécurité Mozilla MFSA2009-18, MFSA2009-19, MFSA2009-31,

MFSA2009-34, MFSA2009-42, MFSA2009-43


Microsoft Internet Information    Services (IIS) 5.0 (FTP Service 5.0) ;

Microsoft Internet Information    Services (IIS) 5.1 (FTP Service 5.1) ;

Microsoft Internet Information    Services (IIS) 6.0 (FTP Service 6.0) ;

Microsoft Internet Information    Services (IIS) 7.0 (FTP Service 7.0).

Microsoft IIS 7.5 n'est pas  affecté. Les utilisateurs de Microsoft  IIS 7.0 avec FTP Service 7.5 ne sont pas affectés.

## Description

Une vulnérabilité (CVE-2009-3023), de type débordement de mémoire, est
présente dans le serveur FTP de Microsoft IIS. Elle permet à un
utilisateur distant malintentionné de provoquer un déni de service sur
les versions 5.1 et 6.0 et 7.0 ou d'exécuter du code arbitraire sur la
version 5.0 du serveur vulnérable.

Pour exploiter cette faille, l'attaquant doit disposer d'un compte ayant
les droits d'écriture sur le serveur afin d'y créer des répertoires
particuliers.

La deuxième vulnérabilité (CVE-2009-2521), due à une saturation des
ressources de la pile, permet à une personne malintentionnée
authentifiée de provoquer un déni de service au moyen d'une commande
spécifique.

Du code permettant l'exploitation de ces vulnérabilités est disponible
sur l'Internet.

## Contournement provisoire

Pour la première vulnérabilité :

-   Désactiver le support de l'écriture de fichiers dans la
    configuration du serveur FTP de Microsoft IIS pour les utilisateurs
    non identifiés (compte anonymous) ;
-   supprimer la permission NTFS de créer des répertoires pour les
    utilisateurs du service ;

Pour les deux vulnérabilités :

-   restreindre l'accès du serveur FTP aux seules personnes de confiance
    ;
-   désactiver le service FTP si ce dernier n'est pas nécessaire ;
-   utiliser un serveur FTP alternatif.

Les utilisateurs de Microsoft Internet Information Services 7.0 peuvent
également mettre à jour le service FTP en version 7.5.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft 975191 du 01 septembre 2009    :

Bulletin de sécurité Microsoft MS09-053 du 13 octobre 2009    :

Document du CERTA CERTA-2009-AVI-433 du 14 octobre 2009 :

Note de vulnérabilité de l'US-CERT VU#276653 du 31 août    2009 :

version initiale.

mise à jour des contournements provisoires, ajout des références au bulletin Microsoft et au CVE.

ajout de la référence CVE-2009-2521, ajout de IIS 7.0 dans la liste des produits vulnérables.

mise à jour des produits affectés, de la description des vulnérabilités et ajout d'un contournement provisoire.

ajout de la solution et des références correspondantes.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Deux vulnérabilités présentes dans le serveur FTP de Microsoft IIS permettent à un utilisateur distant
de provoquer un déni de service ou d'exécuter du code arbitraire.

Vulnérabilités du serveur FTP de Microsoft IIS

Bulletin de sécurité VU#276653 de l'US-CERT


Microsoft Windows Vista Service Pack 1 ;

Microsoft Windows Vista ;

Microsoft Windows Vista Service Pack 2 ;

Microsoft Windows Server 2008 pour systèmes 32 bits Service Pack 2 ;

Microsoft Windows Server 2008 pour systèmes Itanium Service Pack 2 ;

Microsoft Windows Server 2008 pour systèmes x64 Service Pack 2.

Microsoft Windows Server 2008 pour systèmes x64 ;

Microsoft Windows Vista x64 ;

Microsoft Windows Server 2008 pour systèmes 32 bits ;

Microsoft Windows Vista x64 Service Pack 1 ;

Microsoft Windows Server 2008 pour systèmes Itanium ;

Microsoft Windows Vista x64 Service Pack 2 ;

## Description

Une vulnérabilité a été identifiée dans le pilote srv2.sys. Une personne
malintentionnée distante, peut, au moyen d'un paquet spécifiquement
conçu, provoquer un déni de service voire exécuter du code arbitraire.

Du code d'exploitation est disponible sur l'Internet.

## Contournement provisoire

-   désactiver SMB v2 (cf. avis Microsoft) ;
-   filtrer les ports 139/TCP et 445/TCP en amont.

Les contournements proposés permettent de maintenir la mise en œuvre du
partage de fichiers en utilisant le protocole SMB dans sa version 1.

Toutefois des effets de bords liés à l'application de ces contournements
ne peuvent être écartés, telle une diminution des performances. De ce
fait, le CERTA recommande de procéder à la vérification de ces
contournements dans le contexte du système d'information vulnérable
avant tout déploiement.

De plus, Microsoft a publié deux outils permettant d'automatiser
l'application du contournement provisoire ainsi que son retrait. Ces
outils sont disponibles à l'adresse suivante :

    http://support.microsoft.com/kb/975497

## Solution

Le bulletin de sécurité MS09-050 de Microsoft corrige cette
vulnérabilité.

Article Microsoft 975497 du 17 septembre 2009 :

Référence CVE CVE-2009-3103 :

version initiale ;

ajout d'un lien dans la section Documentation et modification de la section Contournement provisoire ;

ajout du correctif.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans SMBv2 sous Microsoft Windows permet à une
personne malintentionnée distante de provoquer un déni de service et
potentiellement d'exécuter du code arbitraire.

Vulnérabilité de SMBv2 dans Microsoft Windows

Bulletin de sécurité Microsoft MS09-050

Avis de sécurité Microsoft 975497


Microsoft Windows 2000 Service Pack 4 ;

Microsoft Windows XP Service Pack 2 ;

Microsoft Windows XP Service Pack 3 ;

Red Hat Enterprise Linux 3, 4, 5 ;

Red Hat Enterprise MRG ;

Sun Solaris versions 8, 9 et 10.

D'autres produits sont très probablement affectés par ces  vulnérabilités.

## Description

Plusieurs vulnérabilités dans l'implémentation TCP/IP de certains
produits permettent à une personne malintentionnée distante de provoquer
un déni de service. Les conséquences, failles et le volume de trafic
nécessaire peuvent varier selon les produits.

Microsoft a annoncé ne pas corriger ces failles pour Windows 2000, qui
bénéficie officiellement d'un support étendu jusqu'au 13 juillet 2010.

Microsoft n'a également pas publié de correctif pour Windows XP car la
configuration par défaut n'est pas affectée (pas d'exception dans le
pare-feu intégré).

## Contournement provisoire

Les personnes utilisant l'un des systèmes concernés comme poste client
peuvent utiliser un dispositif de filtrage à état (stateful) afin de
bloquer les connexions entrantes non sollicitées.

Au besoin, les utilisateurs sont invités à lire les bulletins de
sécurité des différents éditeurs pour des contournements adaptés aux
produits concernés.

## Solution

Les vulnérabilités ont été corrigés dans les produits Microsoft
(MS09-048), Oracle (CPUJul2012), Redhat (RHBA-2009-1539), Solaris (Sun
Alert 267088) et Cisco (cisco-sa-20090908-tcp24). Se rapprocher de
l'éditeur pour obtenir un correctif pour les produits non cités.

Bulletin de sécurité Microsoft MS09-048 du 08 septembre    2009 :

Bulletin de sécurité Oracle CPUJul2012 de juillet 2012 :

Bulletin de sécurité Sun Solaris Alert 267088 du 09    septembre 2009 :

Bulletin de sécurité Cisco cisco-sa-20090908-tcp24 du 08    septembre 2009 :

Bulletin de sécurité Redhat RHBA-2009-1539 du 02 octobre    2009 :

Entrée 18730 de la base de connaissances de Red Hat :

Avis de sécurité du CERT-FI :

modification de l'alerte pour prendre en compte tous les produits ;

ajout du bulletin de sécurité Sun Solaris.

fermeture de l'alerte.

Déni de service à distance

Summary:
Des vulnérabilités dans la pile TCP/IP de certains produits permettent à
une personne malintentionnée distante de provoquer un déni de service.

Vulnérabilités dans l'implémentation TCP/IP de divers produits


Adobe Reader et Acrobat, versions 8.1.6 et antérieures, pour toutes les plateformes ;

Adobe Reader et Acrobat, versions 9.1.3 et antérieures, pour toutes les plateformes ;

Adobe Reader et Acrobat, versions 7.1.3 et antérieures, pour toutes les plateformes.

## Description

Une vulnérabilité non détaillée affecte Adobe Reader et Adobe Acrobat.
Elle permet l'exécution de code arbitraire à distance. L'exploitation de
cette vulnérabilité ne nécessite pas que le support du Javascript soit
activé bien que cela en facilite son utilisation.

Du code permettant l'exploitation de cette vulnérabilité est disponible
sur l'Internet.

## Contournement provisoire

L'editeur annonce un correctif pour le 13 octobre 2009.

En attendant le CERTA recommande :

-   d'utiliser des logiciels alternatifs ;
-   de laisser inactif l'interprétation des Javascript ;
-   d'activer le DEP (Data Execution Protection) sur windows Vista pour
    tous les exécutables du système (l'activation de cette
    fonctionnalité peut avoir des effets indésirables sur certaines
    applications) ;
-   de convertir les fichiers suspects au format ps puis de nouveau au
    format PDF sur une machine sas ;
-   de n'ouvrir que des fichiers provenant de sources qualifiées de
    sûres.

## Solution

Se référer au bulletin Adobe APSB09-15 du 13 octobre 2009 pour
l'obtention des correctifs (cf. section Documentation).

Avis de sécurité du CERTA CERTA-2009-AVI-445 du 14    octobre 2009 :

Bulletin de sécurité Adobe APSB09-15 du 08 octobre 2009,    mis à jour le 13 octobre 2009 :

ajout d'un contournement et de versions vulnérables.

ajout de la solution.

Exécution de code arbitraire à distance

Vulnérabilité dans Adobe Reader et Adobe Acrobat

Bulletin de sécurité Adobe APSB09-15 du 8 octobre 2009


Windows 7 pour systèmes 64 bits ;

Windows 7 ;

Windows Server 2008 R2 pour systèmes Itanium.

Windows Server 2008 R2 pour systèmes 64 bits ;

## Description

Une vulnérabilité affectant l'implémentation du protocole SMB (Server
Message Block) dans Windows 7 et Windows Server 2008 R2 permet à une
personne malintentionnée distante de provoquer un déni de service. Le
savoir-faire permettant d'exploiter cette vulnérabilité a été publié sur
l'Internet.

## Contournement provisoire

En attendant le publication d'un correctif par l'éditeur, le CERTA
recommande de mettre en place la mesure suivante : filtrer les ports
TCP/139 et TCP/445.

Le filtrage de ces ports peut nuire au fonctionnement de diverses
applications ou services comme le partage de fichiers et d'imprimantes,
les politiques de groupe, DFS (Distributed File System) ...

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft MS10-020 du 13 avril 2010 :

Avis du CERTA CERTA-2010-AVI-168 du 14 avril 2010 :

version initiale.

ajout de la référence au correctif.

Déni de service à distance

Summary:
Une vulnérabilité dans Windows 7 et Windows Server 2008 R2 permet à une
personne distante d'effectuer un déni de service.

Le correctif a été publié le 13 avril 2010.

Vulnérabilité dans Windows 7 et Windows Server 2008 R2

Bulletin de sécurité Microsoft 977544 du 13 novembre 2009


Internet Explorer 7.

Internet Explorer 6 ;

## Description

Une vulnérabilité non corrigée existe dans les versions 6 et 7
d'Internet Explorer et permet à une personne malintentionnée d'exécuter
du code arbitraire à distance. Le code permettant l'exploitation de
cette vulnérabilité est disponible sur l'internet.

## Contournement provisoire

Dans l'attente d'un correctif de l'éditeur, le CERTA recommande les
mesures suivantes :

-   utiliser un navigateur alternatif ;
-   désactiver l'exécution du JavaScript par défaut et ne l'activer
    qu'au cas par cas sur des sites de confiance ;

Le CERTA rappelle également qu'il est fortement conseillé de naviguer
sur l'Internet avec un compte utilisateur aux droits restreints. De
plus, l'activation de DEP (Data Execution Prevention) peut empêcher
certaines exploitations de la vulnérabilité (cf. bulletin de l'éditeur).

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft MS09-072 du 08 décembre 2009    :

Bulletin de sécurité du CERTA CERTA-2009-AVI-538 du 09    décembre 2009:

Bulletin de sécurité Microsoft #977981 du 23 novembre 2009    :

version initiale.

ajout de la référence au bulletin de sécurité de Microsoft et mise à jour du contournement.

ajout de la référence CVE.

ajout de la solution.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Internet Explorer versions 6 et 7 permet à une
personne malintentionnée d'exécuter du code arbitraire à distance.

Vulnérabilité dans Internet Explorer


Adobe Illustrator CS3 versions 13.0.3 et antérieures.

Adobe Illustrator CS4 version 14.0.0 ;

## Description

Une vulnérabilité de type débordement de mémoire affecte le traitement
des fichiers au format eps dans Adobe Illustrator CS3 et Adobe
Illustrator CS4. Elle permet à une personne malveillante distante
d'exécuter du code arbitraire en incitant un utilisateur à ouvrir un
fichier au format eps spécialement conçu.

Du code permettant l'exploitation de cette vulnérabilité est disponible
sur l'Internet.

## Contournement provisoire

L'éditeur annonce un correctif pour le 8 janvier 2010.

En attendant le CERTA recommande :

-   de n'ouvrir des fichiers au format eps qu'en provenance de sources
    qualifiées de sûres ;
-   d'utiliser des logiciels alternatifs.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité du CERTA CERTA-2010-AVI-007 du 08    janvier 2010 :

Bulletin de sécurité Adobe Illustrator apsb10-01 du 07    janvier 2010 :

Bulletin de sécurité Adobe apsa09-06 du 07 décembre 2009 :

version initiale.

ajout de la solution.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité affecte Adobe Illustrator CS3 et Adobe Illustrator CS4
lors du traitement des fichiers au format eps (Encapsulated Postscript). Elle permet l'exécution
de code arbitraire à distance.

Vulnérabilité dans Adobe Illustrator

Bulletin de sécurité Adobe APSA09-06 du 07 décembre 2009


La vulnérabilité a été confirmée sur  les produits TANDBERG MXP, versions F8.2, F8.0, F7.2 et F6.3.

## Description

Une vulnérabilité affecte les produits TANDBERG MXP lors du traitement
du flux H.225 RAS. Une personne malveillante distante peut l'exploiter
au moyen d'un nombre déterminé de paquets identiques afin d'épuiser les
ressources et ainsi provoquer un déni de service.

Il n'est pas exclu que la vulnérabilité puisse conduire à une attaque
autre que le déni de service.

## Solution

Fin du suivit par le CERTA. Se rapprocher de l'éditeur pour l'obtention
d'un correctif.

version initiale.

Déni de service à distance

Summary:
Une vulnérabilité affecte les produits TANDBERG MXP lors du traitement
du flux H.225 RAS (Registration, Administration and
Status). Elle permet à une personne malveillant distante de
provoquer un déni de service.

Vulnérabilité dans TANDBERG MXP


Adobe Reader et Acrobat, versions 9.2  et antérieures, pour toutes les plateformes.

## Description

Une vulnérabilité non détaillée affecte Adobe Reader et Adobe Acrobat.
Elle permet l'exécution de code arbitraire à distance par le biais d'un
débordement de mémoire.

## Contournement provisoire

L'éditeur annonce un correctif pour le 12 janvier 2010.

En attendant le CERTA recommande :

-   d'utiliser des logiciels alternatifs ;
-   de désactiver l'interprétation du Javascript ;
-   d'activer le DEP (Data Execution Protection) sur Windows Vista pour
    tous les exécutables système (l'activation de cette fonctionnalité
    peut avoir des effets indésirables sur certaines applications).

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité CERTA CERTA-2010-AVI-012 du 13 janvier    2010 :

Bulletin de sécurité Abobe APSB10-02 du 12 janvier 2010 :

version initiale.

ajout de la section Solution et des références aux bulletins de sécurité Adobe et CERTA.

Exécution de code arbitraire à distance

Bulletin de sécurité Abobe APSA09-07 du 15 décembre 2009


Microsoft Internet Explorer 8.

Microsoft Internet Explorer 7 ;

Microsoft Internet Explorer 6 ;

## Description

Une vulnérabilité due à une référence à un pointeur non valide permet à
une personne malintentionnée d'exécuter du code arbitraire à distance.
Des exploitations limitées de cette vulnérabilité ont déjà été
constatées.

Le CERTA rappelle que les vulnérabilités d'Internet Explorer sont
exploitables au moyen de documents Microsoft Office (cf. bulletin
d'actualité CERTA-2009-ACT-012).

## Contournement provisoire

Un correctif de sécurité est disponible depuis le 21 janvier 2010, se
référer à l'avis CERTA-2010-AVI-025.

Dans l'attente d'un correctif de l'éditeur, le CERTA recommande
l'utilisation d'un navigateur alternatif.

Le CERTA rappelle également qu'il est fortement conseillé de naviguer
sur l'Internet avec un compte utilisateur aux droits limités et la
désactivation de l'interprétation de code dynamique (JavaScript,
ActiveX, ...). De plus, l'activation du DEP (Data Execution Prevention)
peut limiter l'impact de cette vulnérabilité.

Des contournements permettent d'empêcher l'exploitation de la
vulnérabilité via des documents Microsoft Office.

Dans Office 2007, il faut désactiver totalement la prise en compte des
ActiveX dans les documents : dans le menu principal, sélectionner «
Options Word » , « Centre de gestion de la confidentialité » , «
Paramètres du Centre de gestion de la confidentialité » , « Paramètres
ActiveX » , et enfin l'option « Désactiver tous les contrôles sans
notification. »

Dans Office 2003, il n'est pas possible de désactiver la prise en compte
des ActiveX. Toutefois, la désactivation de la prise en compte des
fichiers de type XML permet de limiter l'exploitation de la
vulnérabilité pour les scénarios d'exploitation découverts jusqu'à
présent.

Ceci se fait en modifiant la clé de registre suivante :

    HKCU\Software\Policies\Microsoft\Office\11.0\Word\Security\FileOpenBlock

et en affectant 1 à la valeur (de type DWORD) XmlFiles. Il faut faire de
même pour les autres applications Microsoft Office (remplacer Word par
Excel, Powerpoint, etc.).

Ce contournement pour Office 2003 peut avoir des effets de bord et doit
donc être utilisé avec précaution.

## Solution

Le bulletin de sécurité MS010-002 de Microsoft corrige le problème.

Se référer à ce bulletin pour l'obtention des correctifs (cf. section
Documentation).

Bulletin d'actualité CERTA-2009-ACT-012 du 20 mars 2009 :

Bulletin de sécurité Microsoft MS10-002 du 21 janvier 2010    :

Avis CERTA-2010-AVI-025 du 22 janvier 2010 :

version initiale.

modification des sections « Description » et « Contournement provisoire » pour la prise en compte des documents Office.

ajout de la section « Solution ».

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Microsoft Internet Explorer permet à une personne
malintentionnée d'exécuter du code arbitraire à distance.

Vulnérabilité dans Microsoft Internet Explorer

Bulletin de sécurité Microsoft #979352 du 14 janvier 2010


Remarque : les versions 64-bit des systèmes d'exploitations de  <TT>Microsoft</TT> ne sont pas affectés par cette  vulnérabilité.

Microsoft Windows 2000 Service Pack 4 ;

Microsoft XP Service Pack 2 et Windows XP Service Pack 3    ;

Microsoft Server 2003 Service Pack 2 ;

Windows Vista, Windows Vista Service Pack 1 et Windows    Vista Service Pack 2 ;

Microsoft Server 2008 ;

Windows 7.

## Description

Une vulnérabilité dans le sous-système MS-DOS (ntvdm.exe) et affectant
potentiellement toutes les versions 32 bits de Microsoft Windows, permet
à un utilisateur local d'élever ses privilèges au moyen d'un exécutable
spécialement construit.

Le savoir-faire nécessaire pour exploiter cette vulnérabilité est d'ores
et déjà disponible sur l'Internet.

## Contournement provisoire

Le CERTA recommande de désactiver l'accès au sous-systèmes MS-DOS en
modifiant les stratégies de groupes.

L'application de ce contournement provisoire peut avoir des effets de
bords indésirable. En effet, certaines applications présentes nativement
sur un système Microsoft Windows fonctionnent au moyen de l'accès au
sous-système MS-DOS. Pour ne citer qu'un exemple, l'exécutable
COMMAND.COM ne pourra donc plus fonctionner suite à l'application de ce
contournement provisoire. Naturellement, tous les scripts faisant appel
à des programmes nécessitant l'accès au sous-système MS-DOS ne seront
plus opérationnels.

La désactivation du sous-système MS-DOS sous Microsoft Windows peut
s'effectuer par les étapes suivantes :

-   dans l'outil de configuration des stratégies de groupe, gpedit.msc ;
-   sélectionner Modèles d'administration puis Composants Windows et
    enfin Compatibilité des applications ;
-   choisir l'élément Empêcher l'accès aux applications 16-bit ;
-   cocher l'option Activer dans les propriétés de l'élément.

Ce contournement peut également être appliqué par la modification ou la
création de valeurs dans la base de registre du système :

-   avec l'éditeur de la base de registre (regedit.exe) ;

-   sélectionner la clé suivante :

        \HKEY_LOCAL_MACHINE}\SOFTWARE\Policies\Microsoft\Windows ;

-   créer la clé AppCompat si celle-ci n'existe pas ;

-   sélectionner cette nouvelle clé et créer une valeur VDMDisallowed
    avec le type DWORD ;

-   mettre à 1 la donnée de la valeur précédente ; ou encore :

-   sélectionner la clé :

        \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WOW ;

-   si la valeur DisallowedPolicyDefault n'existe pas, la créer avec le
    type DWORD ;

-   modifier la donnée de la valeur DisallowedPolicyDefault en la
    mettant à 1.

Microsoft a publié un guide pour désactiver l'accès au sous-système
MS-DOS (cf. section Documentation).

## Solution

Le bulletin de sécurité MS010-015 de Microsoft corrige le problème.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis de sécurité du CERTA CERTA-2010-AVI-073 du 10 février    2010 :

Bulletin de sécurité Microsoft MS10-015 du 09 février 2010    :

Bulletin de sécurité Microsoft #979682 du 21 janvier 2010 :

Guide de Microsoft : « Disabling the    MSDOS and WOWEXEC Subsystems on Terminal Server » :

modification de la section « Contournement provisoire » ;

ajout de la solution, ajout des liens vers le bulletin MS10-015 et vers CERTA-2010-AVI-073.

Élévation de privilèges

Summary:
Une vulnérabilité dans le sous-système MS-DOS de Microsoft Windows peut
être exploitée par un utilisateur local malintentionné afin d'élever ses
privilèges.

Vulnérabilité dans le sous-système MS-DOS de Microsoft Windows


Microsoft Windows 2000 Service Pack 4;

Microsoft Windows Server 2003 Service Pack 2.

Microsoft Windows XP Service Pack 2 et Windows XP Service Pack 3;

## Description

Une vulnérabilité due à une faiblesse structurelle du format de fichier
HLP permet à une personne malintentionnée d'exécuter du code arbitraire
à distance.

Le format HLP est le format historique utilisé pour les fichiers d'aide
dans les environnements Microsoft. Il est remplacé depuis quelques
années par le format CHM. Ce format de fichier est considéré comme non
sûr car il permet l'execution de commandes arbitraires via des macros.

L'objet de cette alerte est qu'il est possible d'ouvrir ce type de
fichiers HLP via Microsoft Internet Explorer en naviguant sur une page
Web contenant du script. En effet, la fonction VBScript MsgBox permet
l'ouverture de fichiers de type HLP, via une boîte de dialogue incitant
l'utilisateur à appuyer sur la touche F1.

Le fichier HLP sera ouvert si et seulement si l'utilisateur appuie
effectivement sur cette touche F1.

L'ouverture de ce fichier HLP permet alors l'execution de code à
distance avec les privilèges de l'utilisateur courant.

Le fichier HLP peut se trouver sur le disque local, un partage SMB ou un
serveur WEBDAV.

Il est à noter que du code d'exploitation est d'ores et déjà disponible
sur Internet.

## Contournement provisoire

En premier lieu, informer les utilisateurs de ne pas appuyer sur la
touche F1 lors de la navigation sur Internet.

Rappeler que les bonnes pratiques recommandent d'utiliser un compte
utilisateur restreint pour la navigation sur Internet.

Côté contournement technique, il est possible de bloquer l'ouverture des
fichiers HLP en modifiant les permissions de l'exécutable winhlp32.exe
(voir la section contournement de l'avis Microsoft \#981169)

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft MS10-022 du 13 avril 2010 :

Document du CERTA CERTA-2010-AVI-170 du 14 avril 2010 :

Bulletin de sécurité Microsoft #981169 du 01 mars 2010 :

Blog du MSRC Engineering du 01 mars 2010 :

version initiale.

publication du correctif.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans VBScript permet à un utilisateur malintentionné
d'exécuter du code arbitraire à distance. L'éditeur a publié un
correctif pour cette vulnérabilité

Vulnérabilité dans Microsoft VBScript

Avis Microsoft #981169 du 01 mars 2010

Avis CERTA-2010-AVI-170 du 14 avril 2010


Internet Explorer 6 Service Pack 1 ;

Internet Explorer 6 ;

Internet Explorer 7.

## Description

Une vulnérabilité a été identifiée dans Microsoft Internet Explorer. Son
exploitation permet l'exécution de code arbitraire à distance en
incitant une victime à visiter une page Web spécialement conçue.
L'éditeur Microsoft annonce que plusieurs cas d'attaques utilisant cette
faille ont été découverts.

Le CERTA rappelle que si la vulnérabilité touche le navigateur Internet
Explorer, d'autres vecteurs que des pages internet peuvent être
utilisés. Notamment, il est possible d'exploiter cette faille au moyen
de documents Microsoft Office spécialement conçus (cf. bulletin
d'actualité CERTA-2009-ACT-012).

## Contournement provisoire

Le CERTA recommande l'application du contournement suivant, qui consiste
à retirer les droits d'accès à la bibliothèque iepeers.dll. Ceci peut
avoir des effets de bord sur certaines fonctionnalités étendues de
MSHTML (impression, répertoires Web).

Sur les systèmes 32 bits :

    Echo y| cacls %WINDIR%\SYSTEM32\iepeers.DLL /E /P "Tout le monde":N

Sur les systèmes 64 bits :

    Echo y| cacls %WINDIR%\SYSWOW64\iepeers.DLL /E /P "Tout le monde":N

Pour désactiver ce contournement et autoriser l'accès à cette
bibliothèque :

Sur les systèmes 32 bits :

    cacls %WINDIR%\SYSTEM32\iepeers.dll /E /R "Tout le monde"

Sur les systèmes 64 bits :

    cacls %WINDIR%\SYSWOW64\iepeers.dll /E /R "Tout le monde"

Ce contournement fonctionne pour tous les vecteurs d'attaque (page Web,
document Microsoft Office, etc.) et est donc recommandé même si Internet
Explorer n'est pas le logiciel par défaut utilisé pour la navigation.
L'installation d'Internet Explorer 8 permet également de contourner la
vulnérabilité pour tous les vecteurs d'attaque.

Si les contournements précédents s'avèrent inapplicables, il est
recommandé de naviguer avec un navigateur alternatif et d'appliquer les
contournements spécifiques à l'exploitation de la vulnérabilité via des
documents Microsoft Office (cf. bulletin d'actualité
CERTA-2009-ACT-012).

Le CERTA rappelle, de plus, qu'il recommandé de naviguer avec un compte
utilisateur aux droits restreints et de désactiver l'interprétation de
code dynamique (Javascript, ActiveX). De plus, l'activation du DEP (Data
Execution Prevention) peut limiter l'impact de cette vulnérabilité.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis du CERTA CERTA-2010-AVI-146 du 31 mars 2010 :

version initiale.

publication du correctif.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Microsoft Internet Explorer permet l'exécution de
code arbitraire à distance.

L'éditeur a publié un correctif pour remédier à cette vulnérabilité.

Bulletin de sécurité Microsoft MS10-018 du 30 mars 2010

Avis de sécurité Microsoft #981374 du 09 mars 2010


## Description

Java Deployment Toolkit comprend un ActiveX pour internet Explorer et un
greffon pour Firefox destinés à faciliter le déployement d'applications
Java. Il offre une fonction qui permet de donner un argument au
gestionnaire des fichiers JNLP (Java Networking Lauching Protocol). Dans
une configuration standard, ce gestionnaire est le programme Java Web
Start. La faiblesse du filtrage offert par la fonction de lancement
permet à un utilisateur malveillant d'exécuter du code arbitraire à
distance.

Le savoir-faire nécessaire à l'exploitation de cette vulnérabilité est
disponible sur Internet. Des attaques l'utiliseraient d'ores et déjà.

## Contournement provisoire

Pour réduire la possibilité d'exploiter cette vulnérabilité, il est
recommandé, sous réserve des contraintes opérationnelles :

-   de désinstaller le Java Deployment Toolkit ;
-   de désinstaller Java Web Start s'il n'est pas utilisé ;
-   de positionner le killbit sur l'objet (CLSID)
    CAFEEFAC-DEC7-0000-0000-ABCDEFFEDCBA ;
-   de positionner des droits d'accès réduits sur la bibliothèque
    dynamiques npdeploytk.dll.

L'impact est minimisé lorsque l'utilisateur ne dipose que de droits
restreints.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Oracle CVE-2010-0886 du 15 avril 2010    :

Bulletin de sécurité du CERTA CERTA-010-AVI-185 du 16 avril    2010 :

Notes de mise à jour Sun JAVA 1.6.0_20 du 15 avril 2010 :

Prévention de l'exécution d'un ActiveX depuis Internet    Explorer :

version initiale.

publication du correctif.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Java Deployment Toolkit permet à un utilisateur
malveillant d'exécuter du code arbitraire à distance.

Vulnérabilité dans Java Deployment Toolkit


## Description

Une vulnérabilité non-corrigée relative à la gestion des fenêtres est
présente dans le navigateur Safari de Apple. Celle-ci est due à la façon
dont Safari gère la fermeture des fenêtres de type pop-up et permet à un
utilisateur distant malintentionné de provoquer un déni de service de
l'application vulnérable ou d'exécuter du code arbitraire.

## Remarque n°1 :

Pour que l'exploitation de la vulnérabilité fonctionne, il est
nécessaire que l'option Bloquer les fenêtres surgissantes soit
désactivée. Ceci n'est pas le cas dans la configuration par défaut du
navigateur.

## Remarque n°2 :

La vulnérabilité est confirmée pour la version 4.0.5 sous Microsoft
Windows mais, compte tenu sa nature, il est possible que la version pour
Mac OS X soit également concernée.

## Solution

Version obsolète du navigateur, mettre à jour le logiciel.

version initiale ;

ajout de la référence CVE.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité non-corrigée dans Safari
permet à un utilisateur distant malintentionné de provoquer un déni de
service ou, potentiellement, d'exécuter du code arbitraire.

Vulnérabilité de Safari


Adobe Reader 9.x ;

Adobe Acrobat 9.x :

Adobe Flash Player 10.0.x.

Cette vulnérabilité peut affecter les systèmes d'exploitation  suivants :

Microsoft Windows ;

Apple Mac OS X ;

Gnu/Linux.

## Description

Une vulnérabilité causée par une erreur dans le traitement des fichiers
au format SWF (Shockwave Flash) permet à une personne malveillante de
provoquer un déni de service de l'application ou d'exécuter du code
arbitraire. Cette vulnérabilité peut être exploitée directement au moyen
d'un fichier au format SWF spécialement construit, ou indirectement par
l'intermédiaire d'un fichier au format PDF contenant un objet SWF
malveillant.

Des cas d'exploitation liés à cette vulnérabilité sont d'ores et déjà
recensés sur l'Internet.

## Contournement provisoire

Désactiver l'interprétation des animations Flash ainsi que les
animations 3D.

Afin de limiter l'impact lié à l'exploitation de cette vulnérabilité,
les contournements décrits ci-dessous, non exhaustifs, peuvent être
appliqués.

Remarque : la mise en œuvre de ces contournements de sécurité peut avoir
des effets de bord sur l'activité du système. Il est important de les
tester avant tout déploiement.

## 5.1 Mise à jour de sécurité partielle

L'éditeur Adobe a publié un correctif de sécurité pour Adobe Flash
Player, la version 10.1.53.64 n'est plus affectée par la vulnérabilité
décrite dans ce bulletin d'alerte (cf. Section Documentation).

Dans l'attente d'un correctif de sécurité pour Adobe Reader et Adobe
Acrobat, ces applications restent vulnérables.

### 5.1.1 Adobe Acrobat et Adobe Reader pour Microsoft Windows

-   renommer, supprimer ou retirer les droits d'accès du fichier suivant
    :

    <span
    class="small">`C:\Program      Files\Adobe\Reader 9.0\Reader\authplay.dll`</span>

### 5.1.2 Adobe Acrobat et Adobe Reader pour Mac OS X

-   renommer, supprimer ou retirer les droits d'accès du fichier suivant
    :

    <span
    class="small">`/Applications/Adobe Reader      9/Adobe      Reader.app/Contents/Frameworks/AuthPlayLib.bundle`</span>

### 5.1.3 Adobe Acrobat et Adobe Reader pour GNU/Linux

-   renommer, supprimer ou retirer les droits d'accès du fichier suivant
    :

    <span
    class="small">`/opt/Adobe/Reader9/Reader/intellinux/lib/libauthplay.so`</span>

Remarque : l'emplacement de ces fichiers peut varier en fonction des
distributions GNU/Linux et de la procédure d'installation de
l'application.

### 5.1.4 ActiveX pour Internet Explorer

Désactiver le contrôle ActiveX. Il faut positionner la valeur
Compatibility Flags pour chaque Class Identifier comme décrit ci-dessous
:

    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}]
    ``Compatibility Flags''=dword:00000400

Class Identifiers à désactiver :

    {D27CDB6E-AE6D-11cf-96B8-444553540000}
    {D27CDB70-AE6D-11cf-96B8-444553540000}

Ou rechercher et supprimer le fichier flash10\*.ocx.

### 5.1.5 Module pour Mozilla Firefox

Désactiver le module Shockwave Flash dans le navigateur Mozilla Firefox
:

-   Dans Outils, puis Modules complémentaires ;
-   selectionner le module Shockwave Flash et le désactiver.

Ou rechercher et supprimer le fichier flashplayer.xpt.

## 5.2 Mise à jour de sécurité complémentaire

Adobe a émis les correctifs pour Adobe Reader et Acrobat le 30 juin
2010.

## Solution

Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de séccurité Adobe apsb10-14 du 10 juin 2010 :

Bulletin de séccurité Adobe apsb10-15 du 29 juin 2010 :

Avis CERTA-2010-AVI-261 du 11 juin 2010 :

Avis de sécurité Adobe apsa10-01 du 04 juin 2010 :

Avis CERTA-2010-AVI-296 du 30 juin 2010 :

version initiale.

modification de la section Contournement provisoire et de la section Documentation.

correctifs pour Adobe Reader et Acrobat.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Mise à jour du 30 juin 2010 : cette vulnérabilité est corrigée.

Une vulnérabilité découverte dans certains produits Adobe permet à un
utilisateur distant malintentionné de provoquer un déni de service ou
d'exécuter du code arbitraire.

Vulnérabilité Shockwave Flash pour les produits Adobe

Avis de sécurité Adobe APSA10-01 du 04 juin 2010


Pour l'instant les systèmes suivants ont été identifiés comme  vulnérables :

Windows XP SP2/SP3 ;

Windows 2003 SP2.

## Description

Une vulnérabilité non-corrigée a été découverte dans le Centre d'aide et
de support Windows.

Elle permet à un utilisateur distant malintentionné d'exécuter du code
arbitraire, notamment, via un navigateur internet.

Tous les navigateurs peuvent servir de vecteur d'exploitation, notamment
si Windows Media Player 9 est installé sur la machine. D'autres vecteurs
d'exploitation sont potentiellement possibles, notamment les documents
Office.

Des exemples de code d'exploitation de cette vulnérabilité sont d'ores
et déjà recensés sur l'Internet. Cette vulnérabilité est actuellement
activement exploitée.

Cette vulnérabilité concerne la gestion du protocole HCP utilisé par le
Centre d'aide et de support Windows . Une lien HCP spécialement malformé
permet ainsi l'exécution de code arbitraire à distance.

## Contournements provisoires

Microsoft vient de publier un contournement sous la forme d'un paquet
FixIt (voir section Documentation).

Si vous ne pouvez pas déployer ce paquet FixIt, et dans l'attente d'un
correctif de l'éditeur, le CERTA recommande les mesures suivantes :

Ces contournements peuvent avoir des effets de bord, notamment sur
certaines fonctionnalités de l'aide de Windows.

-   Retirer les droits d'accès à l'exécutable HelpCtr.exe ;

                Echo y| cacls %WINDIR%\PCHealth\HelpCtr\Binaries\HelpCtr.exe /E /P "Tout le monde":N

    Pour désactiver ce contournement et autoriser l'accès à cet
    exécutable ;

                Echo y| cacls %WINDIR%\PCHealth\HelpCtr\Binaries\HelpCtr.exe /E /R "Tout le monde"

-   Modifier l'association du shell pour le protocole HCP ;

    Renommer (ou supprimer) la clé de registre :

                 HKEY_CLASSES_ROOT\HCP\shell\open\command

    Par exemple :

                 HKEY_CLASSES_ROOT\HCP\shell\open\_command

Le CERTA rappelle qu'il est recommandé de naviguer avec un compte
utilisateur aux droits restreints et de désactiver l'interprétation de
code dynamique (Javascript, ActiveX).

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Microsoft FixIt KB2219475 du 11 juin 2010 :

Bulletin de sécurité Microsoft MS10-042 du 13 juillet 2010    :

Avis CERTA-2010-AVI-310 du 15 juin 2010 :

version initiale ;

avis de sécurité Microsoft #2219475 et modification des systèmes impactés, description et contournements ;

modification des sections Contournement et Documentation pour l'ajout du FixIt ;

ajout de la référence CVE ;

ajout de la correction.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité non-corrigée dans le Centre d'aide et de support
Windows permet à un utilisateur distant malintentionné d'exécuter du
code arbitraire.

Vulnérabilité dans le Centre d'aide et de support Windows

Avis de sécurité Microsoft #2219475 du 10 juin 2010


## Description

Un code malveillant, généralement connu sous le nom de Stuxnet ou
CplLnk, exploite activement une vulnérabilité de Microsoft Windows.
Cette vulnérabilité réside dans la gestion des fichiers de raccourcis
.lnk et permet l'exécution à distance de code arbitraire avec les droits
de l'utilisateur connecté sur la machine.

Le code malveillant utilise les périphériques de stockage USB pour se
propager.

## Contournement provisoire

Microsoft a publié un contournement permettant de limiter l'exploitation
de la vulnérabilité .lnk, voir l'alerte CERTA-2010-ALE-010.

En attendant la publication d'un correctif, le CERTA recommande les
bonnes pratiques suivantes :

-   se connecter avec un compte utilisateur aux droits limités ;
-   maintenir à jour la solution antivirale ;
-   porter une attention toute particulière à la présence inattendue de
    fichiers .lnk.

## Moyens de détection

Une fois installé et à la rédaction de ce document, le code malveillant
effectue les opérations suivantes :

-   il crée les fichiers ci-dessous :
    -   `%SYSTEM%\system32\drivers\mrxcls.sys` ;
    -   `%SYSTEM%\system32\drivers\mrxnet.sys` ;
    -   `C:\Windows\inf\mdmcpq3.pnf` ;
    -   `C:\Windows\inf\mdmeric3.pnf` ;
    -   `C:\Windows\inf\oem6c.pnf` ;
    -   `C:\Windows\inf\oem7a.pnf`.
-   il crée également les clés de registre suivantes :
    -   `HKLM\SYSTEM\CurrentControlSet\Services\MRxCls` ;
    -   `HKLM\SYSTEM\CurrentControlSet\Services\MRxNet`.

De plus, il tente des connexions vers les domaines ci-dessous :

-   www.mypremierfutbol.com ;
-   www.todaysfutbol.com.

## Solution

Se référer au bulletin de sécurité Microsoft pour l'obtention du
correctif de la vulnérabilité (cf. section Documentation).

Description du code malveilant Stuxnet par le Microsoft Malware Protection    Center :

Bulletin de sécurité Microsoft MS10-046 du 03 août 2010 :

Description du code malveilant CplLnk par le Microsoft Malware Protection    Center :

Alerte CERTA-2010-ALE-010 du 19 juillet 2010 :

Avis CERTA-2010-AVI-353 du 3 août 2010 :

correction dans les liens Microsoft ;

modification des sections Contournement et Documentation ;

ajout de la section Solution et ajout de la référence au bulletin de sécurité Microsoft dans la section Documentation.

Exécution de code arbitraire à distance

Summary:
Un code malveillant exploitant une vulnérabilité dans Microsoft Windows
permet à une personne distante malintentionnée d'exécuter du code
arbitraire.

Exploitation par un code malveillant d'une vulnérabilité Microsoft Windows non corrigée


Toutes les versions de Microsoft Windows.

## Description

Une vulnérabilité du shell Windows existe dans la gestion des fichiers
de raccourcis .lnk et permet l'exécution à distance de code arbitraire
avec les droits de l'utilisateur connecté sur la machine.

Les fichiers .lnk permettent de créer des raccourcis vers des fichiers
ou des répertoires.

Microsoft a mis à jour son avis pour indiquer que les fichiers .pif sont
aussi vulnérables.

L'exploitation de la vulnérabilité survient lors de l'ouverture, via
l'explorateur Windows, d'un dossier contenant les fichiers malformés. La
méthode d'infection typique est l'ouverture d'une clé USB infectée,
l'exploitation fonctionnant même si Autorun a été désactivé.

Cependant, les périphériques USB ne sont qu'un vecteur d'exploitation,
la vulnérabilité peut être aussi exploitée via des partages réseaux, des
liens WebDav, ou tout autre vecteur menant à l'affichage des fichiers
malformés dans l'explorateur de fichier Windows.

Cette vulnérabilité est activement exploitée sur l'Internet (voir
l'alerter CERTA-2010-ALE-009).

## Contournement provisoire

Comme documenté dans l'avis Microsoft \#2286198, la désactivation de
l'affichage des icônes des raccourcis .lnk et .pif empêche
l'exploitation de la vulnérabilité.

Microsoft a publié un FixIt permettant de déployer le contournement plus
facilement (voir section Documentation).

La procédure manuelle est :

-   Faire une copie du contenu de la clé de registre :

    `HKEY_CLASSES_ROOT\lnkfile\shellex\IconHandler` ;

-   Puis, editer la valeur «Par défaut» de cette clé et en supprimer le
    contenu ;

-   Faire une copie du contenu de la clé de registre :

    `HKEY_CLASSES_ROOT\piffile\shellex\IconHandler` ;

-   Puis, editer la valeur «Par défaut» de cette clé et en supprimer le
    contenu ;

-   Redémarrer la machine ou explorer.exe.

Attention, cette manipulation désactive l'affichage de tous les icônes
des raccourcis , y compris ceux du menu démarrer de Windows.

## Solution

Se référer au bulletin de sécurité Microsoft pour l'obtention des
correctifs (cf. section Documentation).

Fixit Microsoft du 21 juillet 2010 :

Alerte CERTA-2010-ALE-009 du 16 juillet 2010 :

version initiale.

ajout de la vulnérabilité des fichiers .lnk, modification de la section Contournement , ajout du FixIt Microsoft.

ajout de la section Solution et ajout de la référence au bulletin de sécurité Microsoft dans la section Documentation. .

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans le shell Windows
permet à un utilisateur distant malintentionné d'exécuter du code
arbitraire.

Vulnérabilité dans le Shell de Microsoft Windows

Avis de sécurité Microsoft #2286198 du 16 juillet 2010


iPhone avec iOS 3.1.2 à 4.0.1 ;

iPad avec iOS 3.2 à 3.2.1 ;

iPod Touch avec iOS 3.1.2 à 4.0.

## Description

Deux vulnérabilités ont été découvertes dans l'Apple iOS. La première
concerne le traitement des fichiers au format PDF et permet l'exécution
de code arbitraire à distance. La seconde est une vulnérabilité du noyau
utilisable pour effectuer une élévation de privilèges. La combinaison
des deux permet à une personne malintentionnée d'exécuter du code
arbitraire à distance avec les droits administrateur et d'accéder ainsi
à l'ensemble des informations (contacts, mails, documents ...) et
ressources (caméra, micro, GPS...) de l'appareil. Cette vulnérabilité
est entre autre utilisée pour effectuer le Jailbreak.

## Contournement provisoire

En attendant le correctif d'Apple, il est recommandé la plus grande
prudence lors de l'ouverture de fichiers au format PDF, par exemple en
n'ouvrant que des fichiers attendus ou en validant la légitimité du
message auprès de l'envoyeur.

## Solution

La version 4.0.2 de l'iOS corrige le problème.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Document du CERTA CERTA-2010-AVI-011 du 04 août 2010 :

Bulletin de sécurité Apple HT4291 du 11 août 2010 :

version initiale ;

ajout de la solution et de la section documentation.

Élévation de privilèges

Exécution de code arbitraire à distance

Summary:
Deux vulnérabilités non corrigées ont été découvertes dans l'Apple iOS.

Un correctif a été publié le 11 août 2010.

Vulnérabilités dans Apple iOS


Adobe Reader et Adobe Acrobat, versions  9.3.3 et antérieures, pour toutes les plateformes.

## Description

Une vulnérabilité dans le module de traitement des polices de caractères
d'Adobe Reader et d'Adobe Acrobat permet l'exécution de code arbitraire
à distance.

## Contournement provisoire

L'éditeur annonce un correctif pour le 19 août 2010.

En attendant, le CERTA recommande d'utiliser des logiciels alternatifs à
jour.

Pour mémoire, plusieurs bonnes pratiques peuvent aider à protéger les
utilisateurs :

-   s'assurer que les greffons de navigateur permettant d'ouvrir les
    fichiers PDF n'utilisent pas les logiciels faisant l'objet de cette
    alerte ;
-   désactiver l'interprétation du JavaScript ;
-   utiliser un compte avec des droits limités ;
-   de convertir les fichiers suspects au format Postscript puis de
    nouveau au format PDF sur une machine sas ;
-   de n'ouvrir que des fichiers provenant de sources vérifiées et
    sûres.

Ces mesures ne sont pas des garanties de protection contre cette
vulnérabilité mais peuvent en limiter les impacts.

## Solution

La version 9.3.4 d'Adobe Reader et Acrobat, ainsi que la version 8.2.4
d'Adobe Reader remédient à cette vulnérabilité.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis CERTA-2010-AVI-394 du 20 août 2010 :

version initiale.

publication du correctif.

Exécution de code arbitraire à distance

Summary:
Mise à jour : l'éditeur a publié un correctif le 19 août 2010.

Une vulnérabilité affecte Adobe Reader et Adobe Acrobat. Elle permet
l'exécution de code arbitraire à distance.

Vulnérabilité dans Adobe Reader et Adobe Acrobat

Bulletin de sécurité Adobe APSB10-17 du 19 août 2010


Apple QuickTime versions 7.6.7 et  antérieures sur plateforme Windows.

## Description

Une vulnérabilité non-corrigée dans le contrôle ActiveX QuickTime
(QTPlugin.ocx) permet à une personne distante malintentionnée d'exécuter
du code arbitraire via une page web spécialement construite.

Le problème résidant dans le contrôle ActiveX QuickTime, l'exploitation
n'est possible, à ce jour, que via le navigateur Internet Explorer.

Le savoir-faire nécessaire pour exploiter cette vulnérabilité est d'ores
et déjà disponible sur l'Internet.

## Contournement provisoire

Afin de limiter l'impact lié à l'exploitation de cette vulnérabilité,
les contournements décrits ci-dessous, non exhaustifs, peuvent être
appliqués.

Remarque : la mise en œuvre de ces contournements de sécurité peut avoir
des effets de bord sur l'activité du système. Il est important de les
tester avant tout déploiement.

-   Renommer, supprimer, ou retirer les droits d'accès du fichier
    suivant :

    <span
    class="small">`C:\Program      Files\QuickTime\QTPlugin.ocx`</span>

-   désactiver le chargement du contrôle ActiveX dans Internet Explorer
    :

    Positionner la valeur Compatibility Flags comme décrit ci-dessous :

        [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\
        {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}]
        ``Compatibility Flags''=dword:00000400

## Solution

Cette vulnérabilité est corrigée dans la version 7.6.8 de QuickTime. Se
référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis CERTA-2010-AVI-441 :

Bulletin de sécurité Apple HT4339 du 15 septembre 2010 :

version initiale.

publication du correctif.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité non-corrigée dans le contrôle ActiveX Apple QuickTime
permet à un utilisateur distant malintentionné d'exécuter du code
arbitraire.

Vulnérabilité dans le contrôle ActiveX Apple QuickTime


Adobe Reader et Adobe Acrobat version 9.3.4 et antérieures, pour toutes plateformes ;

Adobe Reader et Adobe Acrobat version 8.2.4 et antérieures, pour toutes plateformes.

## Description

Une vulnérabilité dans le module de traitement des polices de caractère
d'Adobe Reader et Adobe Acrobat (CoolType.dll) permet l'exécution de
code arbitraire à distance.

Cette vulnérabilité est actuellement activement exploitée sur
l'Internet. Le code d'exploitation semble fonctionner sur de nombreuses
plateformes, incluant Microsoft Windows 7 et Vista et a la capacité de
contourner les mécanismes de protection de type ASLR (Address Space
Layout Randomization) et DEP (Data Execution Prevention).

## Contournement provisoire

L'éditeur annonce travailler sur un correctif, qui devrait être publié
rapidement. En attendant, le CERTA recommande d'utiliser un lecteur PDF
alternatif à jour.

Pour mémoire, plusieurs bonnes pratiques peuvent aider à protéger les
utilisateurs :

-   s'assurer que les greffons de navigateur permettant d'ouvrir les
    fichiers PDF n'utilisent pas les logiciels faisant l'objet de cette
    alerte ;
-   désactiver par défaut l'interprétation du JavaScript ;
-   utiliser un compte avec des droits limités ;
-   convertir les fichiers suspects au format Postscript puis de nouveau
    au format PDF sur une machine sas ;
-   n'ouvrir que des fichiers provenant de sources vérifiées et sûres.

Ces mesures ne sont pas des garanties de protection contre cette
vulnérabilité mais peuvent en limiter les impacts.

## Solution

Les versions d'Adobe Reader et Adobe Acrobat 9.3.4 et 8.2.4 corrigent
cette vulnérabilité. Se référer au bulletin de sécurité de l'éditeur
pour l'obtention des correctifs (cf. section Documentation).

Document du CERTA CERTA-2010-AVI-470 du 06 octobre 2010 :

version initiale.

publication du correctif.

Exécution de code arbitraire à distance

Summary:
L'éditeur a publié un correctif le 5 octobre 2010. Une vulnérabilité
affecte Adobe Reader et Adobe Acrobat. Elle permet l'exécution de code
arbitraire à distance.

Bulletin de sécurité Adobe APSA10-02 du 08 septembre 2010


Adobe Flash Player version 10.1.92.10 pour Android ;

Adobe Reader versions 9.3.4 et antérieures pour Windows, Macintosh et UNIX ;

Adobe Acrobat versions 9.3.4 et antérieures pour Windows et Macintosh.

Adobe Flash Player versions 10.1.82.76 et antérieures pour Windows, Macintosh, GNU/Linux et Solaris ;

## Description

Une vulnérabilité a été découverte dans Adobe Flash Player.
L'exploitation de cette vulnérabilité permet l'exécution de code
arbitraire à distance.

## Contournement provisoire

En l'attente d'un correctif de l'éditeur, quelques mesures peuvent
limiter les possibilités d'exploitation de cette faille :

-   désactiver l'interprétation des animations Flash et du javascript ;
-   n'ouvrir que des fichiers provenant de sources vérifiées et sûres.

## Solution

Les versions 10.1.85.3 (Windows, Macintosh, GNU/Linux et Solaris) et
10.1.92.10 (Android) d'Adobe Flash Player corrigent cette vulnérabilité.
Les correctifs pour Adobe Reader et Adobe Acrobat sont prévus
ultérieurement. Se référer au bulletin de sécurité de l'éditeur pour
l'obtention des correctifs (cf. section Documentation).

Avis CERTA-2010-AVI-447 :

Bulletin de sécurité Adobe APSB10-22 du 20 septembre 2010 :

version initiale.

ajout de la solution et mise à jour de la section Documentation.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Adobe Flash Player
permet l'exécution de code arbitraire à distance.

Vulnérabilité dans Adobe Flash Player

Bulletin de sécurité Adobe APSA10-03 du 13 septembre 2010


Adobe Shockwave Player 11.5.8.612 et antérieures.

Cette vulnérabilité peut affecter les systèmes d'exploitation  suivants :

Microsoft Windows ;

Apple Mac OS X.

## Description

Une vulnérabilité causée par une erreur dans le traitement des fichiers
au format DIR a été découverte dans Adobe Shockwave Player. Elle permet
à une personne malveillante distante de provoquer un déni de service ou
d'exécuter du code arbitraire. Cette vulnérabilité peut être exploitée
au moyen d'un fichier DIR spécialement construit, via un navigateur
Internet mais d'autres vecteurs d'exploitation sont envisageables.

## Contournement provisoire

Ces contournements provisoires ne sont plus d'actualité, un correctif
étant disponible Désactiver Shockwave Player.

Afin de limiter l'impact lié à l'exploitation de cette vulnérabilité,
les contournements décrits ci-dessous, non exhaustifs, peuvent être
appliqués.

Remarque : la mise en oeuvre de ces contournements de sécurité peut
avoir des effets de bords sur l'activité du système. Il est important de
les tester avant tout déploiement.

## 5.1 ActiveX pour Internet Explorer

Désactiver le contrôle ActiveX. Il faut positionner la valeur
Compatibility Flags pour le Class Identifier comme décrit ci-dessous :

    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}]
    ``Compatibility Flags''=dword:00000400

Class Identifier à désactiver :

    {233C1507-6A77-46A4-9443-F871F945D258}

## 5.2 Module pour Mozilla Firefox

Désactiver le module Shockwave for Director dans le navigateur de
Mozilla Firefox :

-   Dans Outils, puis Modules complémentaires ;
-   sélectionner le module Shockwave for Director et le désactiver.

## Solution

Se référer au bulletin de sécurité Adobe APSB10-25 du 28 octobre 2010
pour l'obtention des correctifs (cf. section Documentation).

Bulletin de sécurité Adobe APSB10-25 du 28 ocotbre 2010 :

Avis CERTA-2010-AVI-523 du 29 octobre 2010 :

Bulletin de sécurité Adobe APSA10-04.html du 21 octobre    2010 :

version initiale.

ajout du correctif.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité découverte dans Adobe Shockwave Player permet à un
utilisateur de provoquer un déni de service ou d'exécuter du code
arbitraire à distance.

Vulnérabilité Adobe Shockwave Player

Bulletin de sécurité Adobe du 21 octobre 2010


Mozilla Firefox 3.6.11 et antérieures.

Mozilla Firefox 3.5.14 et antérieures ;

## Description

Une vulnérabilité non communiquée affecte le navigateur Mozilla Firefox.
Elle permet à une personne malintentionnée d'exécuter du code arbitraire
à distance au moyen d'une page Web spécifiquement réalisée.

## Contournement provisoire

Ces contournements ne sont plus d'actualité, un correctif étant
disponible.

Mozilla recommande la désactivation du JavaScript dans son navigateur,
ou son utilisation au cas par cas, en fonction des sites et des besoins.
Ce paramètrage peut être fait au moyen d'extensions supplémentaires.

Cependant l'indispensabilité du JavaScript n'étant pas démontrée, le
CERTA recommande la plus grande prudence, même en appliquant ce
contournement. Il est donc conseillé d'utiliser un navigateur alternatif
en attendant la publication d'un correctif.

## Solution

Se référer au bulletin de sécurité Mozilla mfsa2010-73 pour l'obtention
des correctifs (cf. section Documentation).

Avis CERTA-2010-AVI-521

Annonce de sécurité de la fondation Mozilla    «critical-vulnerability-in-firefox-3-5-and-firefox-3-6» du 26    octobre 2010 :

Bulletin de sécurité Mozilla MFSA 2010-73 du 27 octobre    2010 :

version initiale.

ajout du correctif Mozilla.

Exécution de code arbitraire à distance

Summary:
Un correctif a été publié concernant une vulnérabilité, non détaillée,
permettant à une personne malintentionnée distante d'exécuter du code
arbitraire dans Mozilla Firefox.

Vulnérabilité dans Mozilla Firefox

Annonce de sécurité Mozilla du 26 octobre 2010


Adobe Flash Player 10.1.95.2 et les versions antérieures sur les systèmes Android ;

le composant authplay.dll contenu dans les versions 9.4 et antérieures de Adobe Acrobat et Reader.

Adobe Flash Player 10.1.85.3 et les versions antérieures sur les systèmes Windows, Macintosh, Linux et Solaris ;

## Description

Une vulnérabilité critique affecte des produits Adobe. Elle permet à une
personne malintentionnée d'exécuter du code arbitraire à distance. Elle
est actuellement exploitée sur l'Internet dans des attaques ciblant les
logiciels Adobe Acrobat et au moyen de documents PDF ayant du contenu
Flash.

## Contournement provisoire

Il est possible de supprimer ou interdire l'accès au composant
authplay.dll. Cela empêchera l'exécution du contenu Flash et provoquera
une erreur lors de l'ouverture de documents PDF ayant un tel contenu.

Il est aussi possible d'utiliser un logiciel alternatif en attendant la
publication d'un correctif.

Le 04 novembre 2010, Adobe a publié une mise à jour de son lecteur Adobe
Flash Player corrigeant cette vulnérabilité. Les applications Adobe
Reader et Adobe Acrobat restaient vulnérables.

## Solution

Le 04 novembre 2010, Adobe a publié une mise à jour de son lecteur Adobe
Flash Player corrigeant cette vulnérabilité.

Les versions 9.4.1 d'Adobe Reader et d'Acrobat, publiées le 16 novembre
2010, résolvent ce problème.

La publication du correctif d'Acrobat sur plateforme Unix est annoncée
pour le 30 novembre 2010.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Adobe APSB10-26 du 04 novembre 2010 :

Alerte de sécurité Adobe APSA10-05 du 28 octobre 2010 :

Bulletin de sécurité Adobe APSB10-28 du 16 novembre 2010 :

Document du CERTA CERTA-2010-AVI-551 du 17 novembre 2010 :

version initiale.

ajout de la référence au bulletin de sécurité Adobe APSB10-26 et modification des contournements provisoires.

ajout de la référence au bulletin de sécurité Adobe APSB10-28.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité permettant l'exécution de code arbitraire à distance
affecte des produits Adobe. L'éditeur a émis les correctifs pour les
lecteurs PDF.

Vulnérabilité dans Adobe Flash Player, Adobe Reader et Acrobat

Bulletin de sécurité Adobe APSA10-05 du 28 octobre 2010


Microsoft Internet Explorer 8.

Microsoft Internet Explorer 7 ;

Microsoft Internet Explorer 6 ;

## Description

Une vulnérabilité relative à la gestion de certains drapeaux est
présente dans Microsoft Internet Explorer. Elle permet à un utilisateur
distant de provoquer un déni de service ou d'executer du code arbitraire
par le biais d'une page web construite de façon particulière.

## Contournement provisoire

Afin de contourner le problème :

-   Il est possible de surcharger la feuille de style utilisée par
    défaut pour afficher les pages web :
    -   créer un fichier moncss.css contenant :

    -   dans Internet Explorer, cliquer sur Outils puis Options
        Internet ;
    -   cocher la case Mettre les documents en
        forme en utilisant ma feuille de style ;
    -   avec le bouton parcourir
        selectionner le fichier préalablement créé : moncss.css.
-   Utiliser un navigateur alternatif ne s'appuyant pas sur le moteur de
    rendu de Internet Explorer comme Firefox, Opera, Safari ou Chrome.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft MS10-090 du 14 décembre 2010    :

Bulletin de sécurité Microsoft n°2458511 du 03 novembre    2010 :

version initiale.

ajout de la référence au correctif.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été corrigée dans Microsoft Internet Explorer, elle
permet à un utilisateur distant de provoquer un déni de service ou
d'exécuter du code arbitraire.

Vulnérabilité dans Microsoft Internet Explorer


Adobe Reader et Acrobat 9.x sur toutes les plateformes.

## Description

Une vulnérabilité non détaillée affecte les logiciels Adobe Reader et
Acrobat. Une personne malintentionnée peut l'exploiter au moyen d'un
document spécifiquement réalisé pour provoquer un déni de service ou
exécuter du code arbitraire. Une preuve de faisabilité de déni de
service est disponible sur l'Internet.

L'exploitation de cette vulnérabilité peut se faire à distance au moyen
de greffons dans les navigateurs.

L'éditeur confirme que les versions 8.x d'Adobe Reader et d'Acrobat ne
sont pas concernées.

## Contournement provisoire

Adobe recommande l'utilisation du JavaScript Blacklist Framework pour
empêcher l'exploitation de la vulnérabilité. Les détails de
configuration, en fonction du système, sont disponibles dans la note de
sécurité du PSIRT (cf. Documentation).

Pour mémoire, plusieurs bonnes pratiques peuvent aider à protéger les
utilisateurs :

-   s'assurer que les greffons de navigateur permettant d'ouvrir les
    fichiers PDF n'utilisent pas les logiciels faisant l'objet de cette
    alerte ;
-   désactiver par défaut l'interprétation du JavaScript ;
-   utiliser un compte avec des droits limités ;
-   convertir les fichiers suspects au format Postscript puis de nouveau
    au format PDF sur une machine sas ;
-   n'ouvrir que des fichiers provenant de sources vérifiées et sûres ;
-   utiliser un lecteur alternatif.

Ces mesures ne sont pas des garanties de protection contre cette
vulnérabilité mais peuvent en limiter les impacts.

## Solution

Les versions 9.4.1 d'Adobe Reader et d'Acrobat résolvent ce problème.

La publication du correctif d'Acrobat sur plateforme Unix est annoncée
pour le 30 novembre 2010.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Note de sécurité du Adobe PSIRT du 04 novembre 2010 :

Bulletin de sécurité Adobe apsb10-05 du 16 novembre 2010 :

Bulletin de sécurité Adobe apsb10-28 du 16 novembre 2010 :

version initiale.

précisions sur la portée et publication de correctifs.

Exécution de code arbitraire

Déni de service

Summary:
L'éditeur a publié, le 16 novembre 2010, un correctif pour Acrobat, sauf
sur plateforme Unix, et pour Adobe Reader.

Une vulnérabilité non détaillée affecte le logiciel Adobe Reader. Elle
permet le déni de service et l'exécution de code arbitraire.

Vulnérabilité dans Adobe Reader et Acrobat

Note de sécurité du Adobe PSIRT du 4 novembre 2010


Microsoft Internet Explorer 8.

Microsoft Internet Explorer 7 ;

Microsoft Internet Explorer 6 ;

## Description

Une vulnérabilité affecte Microsoft Internet Explorer et permet à un
utilisateur malveillant d'exécuter du code arbitraire à distance en
utilisant des feuilles de style (CSS) spécialement conçues.

Une preuve de faisabilité est déjà disponible sur l'Internet.

## Contournement provisoire

Dans l'attente d'un correctif de l'éditeur, le CERTA recommande
plusieurs actions :

-   pour limiter la possibilité d'exploitation de la vulnérabilité :
    -   la désactivation de l'interprétation des scripts Javascript ;
    -   le déploiement d'EMET (Enhanced Mitigation Experience Toolkit) ;
    -   l'utilisation d'un navigateur alternatif ;
-   pour limiter l'impact de l'exploitation de la vulnérabilité,
    l'utilisation d'un compte utilisateur avec des droits restreints.

Microsoft a publié le correctif MicrosoftFixIt50591.msi afin d'aller
éditer temporairement la bibliothèque partagée MSHTML.DLL, responsable
de cette vulnérabilité. Pour pouvoir appliquer ce correctif il est
nécessaire d'appliquer les dernières mises à jour de sécurité, notamment
le correctif MS10-090 du 14 décembre 2010.

Il est également nécessaire de bien mesurer les effets de bord possibles
de ce correctif avant tout déploiement en production.

## Solution

L'éditeur a publié le correctif MS11-003 pour corriger cette
vulnérabilité.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Document du CERTA CERTA-2011-AVI-058 du 09 février 2011 :

Bloc-Notes Microsoft SRD, "New workaround included in    security Advisory 2488013", 11 janvier 2011 :

Bulletin de sécurité Microsoft MS11-003 du 08 février 2011    :

Bloc-Notes Microsoft SRD, "New Internet Explorer    vulnerability affecting all versions of IE", 22 décembre 2010 :

Bulletin de sécurité Microsoft 2488013 du 22 décembre 2010    :

version initiale.

ajout de la référence au bulletin Microsoft et de la référence CVE.

ajout du correctif temporaire dans les contournements provisoires.

ajout du correctif MS11-003.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
L'éditeur a publié un correctif le 08 février 2011.

Une vulnérabilité dans Microsoft Internet Explorer permet à un
utilisateur malveillant d'exécuter du code arbitraire à distance par
l'intermédiaire d'une page web spécialement conçue.

Bulletin de Sécurité Microsoft 2488013 du 22 décembre 2010


Windows Vista SP1 et SP2 (32bits et 64bits) ;

Windows Server 2008 SP2 (32bits et 64 bits) ;

Windows XP SP3 ;

Windows Server 2003 SP2 (32 bits et 64 bits) ;

Windows Server 2003 SP2 (Itanium) ;

Windows Server 2008 SP2 (Itanium).

Windows Server 2008 (Itanium) ;

Windows Server 2008 (32bits et 64 bits) ;

Windows XP Pro SP2 64bits ;

## Description

Une vulnérabilité non corrigée a été découverte dans le moteur de rendu
graphique de Windows. Elle permet d'exécuter du code malveillant au
moyen d'une image d'aperçu (miniature ou thumbnail) spécialement
réalisée. Une personne malintentionnée distante peut faire exécuter du
code arbitraire à une victime en la dupant et en lui faisant ouvrir un
document, ou suivre un lien malveillant, entrainant la visualisation
d'une miniature spécialement réalisée.

Des exemples de code d'exploitation de cette vulnérabilité sont d'ores
et déjà recensés sur l'Internet.

## Contournement provisoire

Microsoft propose comme moyen de contournement de limiter les droits sur
la bibliothèque responsable du rendu graphique des miniatures, le
fichier shimgvw.dll. Cela est faisable grace aux commandes suivantes
executées en tant qu'administrateur :

-   Pour les systèmes Windows XP et Windows Server 2003 :

        Echo y| cacls %WINDIR%\SYSTEM32\shimgvw.dll /E /P "Tout le monde":N

-   pour les systèmes Windows Vista 32 bits et Windows Server 2008 32
    bits :

        takeown /f %WINDIR%\SYSTEM32\SHIMGVW.DLL
        icacls %WINDIR%\SYSTEM32\SHIMGVW.DLL /save %TEMP%\SHIMGVW_ACL.TXT
        icacls %WINDIR%\SYSTEM32\SHIMGVW.DLL /deny "Tout le monde":(F)

-   pour les systèmes Windows Vista 64 bits et Windows Server 2008 64
    bits :

        takeown /f %WINDIR%\SYSTEM32\SHIMGVW.DLL
        takeown /f %WINDIR%\SYSWOW64\SHIMGVW.DLL
        icacls %WINDIR%\SYSTEM32\SHIMGVW.DLL /save %TEMP%\SHIMGVW_ACL32.TXT
        icacls %WINDIR%\SYSWOW64\SHIMGVW.DLL /save %TEMP%\SHIMGVW_ACL64.TXT
        icacls %WINDIR%\SYSTEM32\SHIMGVW.DLL /deny "Tout le monde":(F)
        icacls %WINDIR%\SYSWOW64\SHIMGVW.DLL /deny "Tout le monde":(F)

Ce contournement aura pour effet, entre autre, de remplacer l'affichage
des miniatures par l'affichage des icones. Attention, il doit être
validé avant d'être déployé en production. Le CERTA rappelle aussi qu'il
est recommandé d'utiliser un compte utilisateur aux droits restreints et
de respecter les bonnes pratiques en matière de sécurité.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Note : Les mesures de contournement
provisoire doivent être supprimées avant l'application du correctif
MS11-006.

Bulletin de sécurité Microsoft MS11-006 du 08 février 2011    :

Avis CERTA-2011-AVI-061 du 09 février 2011 :

version initiale.

mise à jour des systèmes affectés et ajout de la référence au correctif.

précision sur la suppression des mesures de contournement provisoires.

Exécution de code arbitraire à distance

Summary:
Un correctif a été publié le 08 février 2011.

Une vulnérabilité non corrigée dans le moteur de rendu graphique de
Windows permet à une personne malintentionnée d'exécuter du code
arbitraire à distance.

Vulnérabilité dans le moteur de rendu graphique de Windows

Alerte de sécurité Microsoft 2490606 du 04 janvier 2011


Adobe Flash Player 10.1.106.16 et antérieures sur les systèmes Android ;

Adobe Flash Player 10.2.154.18 et antérieures pour les utilisateurs de Chrome ;

Adobe Flash Player 10.2.152.33 et antérieures sur les systèmes Windows, Linux et Solaris ;

le composant authplay.dll contenu dans les versions 10.0.1 et antérieures de Adobe Acrobat et Reader.

## Description

Une vulnérabilité affecte des produits Adobe. Elle permet à une personne
malintentionnée d'exécuter du code arbitraire à distance. Elle est
actuellement activement exploitée sur l'Internet, notamment par le biais
de fichiers Microsoft Excel spécialement conçus.

## Contournement provisoire

Il est possible de supprimer ou interdire l'accès au composant
authplay.dll. Cela empêchera l'exécution du contenu Flash et provoquera
une erreur lors de l'ouverture de documents ayant un tel contenu.

Un moyen de contournement pour les utilisateurs de Windows est
l'installation du Microsoft's Enhanced Mitigation Evaluation Toolkit
(EMET). Cet outil permet d'activer un certains nombre de protections
pour les applications exécutables sélectionnées. Dans le cadre de cette
vulnérabilité, il est intéressant de l'activer pour les applications
Microsoft Office (en priorité Excel) et pour le navigateur Web. Ces
protections comprennent Data Execution Prevention (DEP), Export Address
Table Access Filtering (EAF), et HeapSpray pre-allocation. Ces mesures
de protection se sont montrées efficaces contre les attaques connues
utilisant cette vulnérabilité, notamment parce que ces dernières
utilisent la méthode HeapSpray pour se stabiliser.

## Solution

Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Correctif Google Chrome :

Bulletin de sécurité Adobe Reader et Acrobat apsb11-06 du    21 mars 2011 :

Bulletin de sécurité Adobe Flash apsb11-05 du 21 mars 2011    :

Bulletin de sécurité Adobe apsa11-01 du 14 mars 2011 :

version initiale.

ajout du correctif Chrome et modification de la section des contournements provisoires.

ajout des liens vers les bulletins proposant le téléchargement des correctifs.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité permettant l'exécution de code arbitraire à distance
affecte des produits Adobe. Elle est actuellement activement exploitée.
L'éditeur propose des correctifs depuis le 22 mars 2011.

Vulnérabilité dans Adobe Flash Player, Adobe Reader et Acrobat

Bulletin de sécurité Adobe APSA11-01 du 14 mars 2011


le composant authplay.dll contenu dans les versions 10.0.2 et antérieures de Adobe Acrobat et Reader pour les systèmes Windows et Macintosh.

Adobe Flash Player 10.2.154.25 et antérieures pour les utilisateurs de Chrome ;

Adobe Flash Player 10.2.153.1 et antérieures sur les systèmes Microsoft Windows, Linux et Oracle Solaris ;

Adobe AIR versions 2.6.19120 et antérieures ;

Adobe Flash Player 10.1.156.12 et antérieures sur les systèmes Android ;

## Description

Des produits Adobe sont vulnérables à une faille permettant à une
personne malintentionnée d'exécuter du code arbitraire à distance.

L'éditeur rapporte que cette vulnérabilité est actuellement exploitée
sur l'Internet, en particulier via des documents Microsoft Word
spécialement conçus.

Mise à jour du 14 avril 2011 : l'éditeur
annonce les dates de mise à disposition de correctifs suivantes :

-   15 avril 2011 pour Adobe Flash Player 10.2.x (tous les systèmes
    d'exploitation) ;
-   semaine du 25 avril 2011 pour Adobe Reader 9.x, pour Windows et
    MacOS ;
-   semaine du 25 avril pour Adobe Reader X (10.0.1) pour MacOS ;
-   14 juin 2011 pour Adobe Reader X (10.0.2) pour Windows.

## Contournement provisoire

Il est possible de supprimer ou interdire l'accès à la DLL authplay.dll.
Le Protected Mode inclus dans Adobe Reader X réduit les risques
d'exploitation de la vulnérabilité.

Il est également recommandé d'utiliser un logiciel alternatif et à jour
en attendant la publication du correctif.

## Solution

Se référer aux bulletins de sécurité APSB11-07 et APSB11-16 (APSB11-16
inclut les corrections pour les vulnérabilités décrites dans les
bulletins APSB11-06 et APSB11-08) de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Adobe APSB11-07 du 15 avril 2011 :

Avis de sécurité du CERTA CERTA-2011-AVI-342 du 15 juin    2011 :

Bulletin de sécurité Adobe APSB11-16 du 14 juin 2011 :

Avis de sécurité du CERTA CERTA-2011-AVI-250 du 22 avril    2011 :

Avis de sécurité du CERTA CERTA-2011-AVI-234 du 19 avril    2011 :

Notes de version Google Chrome :

Bulletin de sécurité Adobe APSB11-08 du 21 avril 2011 :

Bulletin d'alerte Adobe APSA11-02 du 11 avril 2011 :

version initiale.

annonce des dates de publication des correctifs.

ajout du correctif Google Chrome.

ajout du bulletin de sécurité Adobe APSB11-07, de Adobe AIR dans les produits vulnérables et de la solution partielle.

ajout du bulletin de sécurité Adobe APSB11-08, et des corrections Adobe Reader et Acrobat dans la solution partielle.

ajout du bulletin de sécurité Adobe APSB11-16 proposant l'ensemble des correctifs pour Adobe Reader et Acrobat.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité permettant l'exécution de code arbitraire à distance
affecte des produits Adobe. Elle est actuellement activement exploitée.
L'éditeur a publié les correctifs pour toutes les versions concernées.

Alerte de sécurité Adobe APSA11-02 du 11 avril 2011


iPod Touch 2G, 3G et 4G avec iOS versions 4.3.3 et antérieures.

iPhone 4, 3GS et 3G avec iOS versions 4.3.3 et antérieures ;

iPad 1G et 2 avec iOS versions 4.3.3 et antérieures ;

## Description

Deux vulnérabilités ont été découvertes dans l'Apple iOS. La première
concerne le traitement des fichiers au format PDF et permet l'exécution
de code arbitraire à distance. La seconde est une vulnérabilité du noyau
utilisable pour effectuer une élévation de privilèges. La combinaison
des deux permet à une personne malintentionnée d'exécuter du code
arbitraire à distance avec les droits administrateur et d'accéder ainsi
à l'ensemble des informations (contacts, mails, documents ...) et
ressources (caméra, micro, GPS...) de l'appareil. Des preuves de
faisabilité circulent déjà sur l'Internet. Ces vulnérabilités sont,
entre autre, utilisées pour effectuer le Jailbreak.

## Contournement provisoire

En attendant le correctif d'Apple, il est recommandé la plus grande
prudence lors de l'ouverture de fichiers au format PDF, par exemple en
n'ouvrant que des fichiers attendus ou en validant la légitimité du
message auprès de l'envoyeur.

## Solution

Se référer au bulletin de sécurité Apple HT4802 et HT4803 pour
l'obtention des correctifs (cf. section Documentation).

Bulletin de sécurité Apple HT4802 du 15 juillet 2011 :

Bulletin de sécurité Apple HT4803 du 15 juillet 2011 :

version initiale.

ajout des références aux bulletins Apple et aux CVE.

Exécution de code arbitraire à distance

Élévation de privilèges

Summary: Deux vulnérabilités non corrigées ont été découvertes dans l'Apple iOS.

Vulnérabilités dans Apple iOS


Toutes les implémentations du protocole SSL/TLS sont  potentiellement vulnérables.

## Description

Plusieurs articles et des outils récemment publiés sur l'Internet
mettent en lumière certaines fonctionnalités du protocole SSL/TLS. En
effet, le protocole SSL requiert des traitements significativement plus
coûteux pour le serveur que le client lors de l'établissement d'une
session ou lors de la renégociation de clés de session. Cette forte
asymétrie des traitements entre le client et le serveur permet à un ou
plusieurs clients d'épuiser les ressources serveur et de réaliser un
déni de service. Les publications récentes détaillent ces aspects et
proposent des outils, très simples d'utilisation, mettant en pratique
cette attaque.

Toutes les applications reposant sur l'utilisation d'un canal SSL/TLS
sont potentiellement vulnérables (HTTPS, POPS, IMAPS, LDAPS, ...).

La plus efficace de ces attaques consiste à utiliser une seule connexion
TCP pour réaliser de nombreuses renégociations des clés de session
SSL/TLS.

Une variante de cette attaque, plus facilement détectable, consiste pour
le client à multiplier les connexions TCP pour établir un grand nombre
de sessions SSL/TLS. Cette variante sera privilégiée par l'attaquant
lorsque la renégociation de clés de session initié par le client est
désactivée sur le serveur.

## Solution

S'agissant d'une fonctionnalité du protocole SSL/TLS, aucun correctif
n'est à attendre de la part des éditeurs d'implémentation du protocole
SSL/TLS.

Néanmoins, un certain nombre de vérification et/ou précautions
s'imposent pour prévenir un déni de service sur des applications
critiques reposant sur le protocole SSL/TLS.

## 5 -.1 Désactivation de la fonctionnalité de renégociation de clés de session initiée par le client

La fonctionnalité de renégociation des clés de session a déjà donné lieu
à la publication de l'avis CERTA-2009-AVI-482. Lors du traitement de
cette vulnérabilité, les différents éditeurs d'implémentation du
protocole SSL/TLS ont proposé des mises à jour refusant par défaut les
demandes de renégociation de clés de session initiées par le client.

Pour l'implémentation OpenSSL, la version OpenSSL 0.9.8l désactive la
renégotiation de clé inititiée par le client. Les versions 0.9.8m et
supérieures réactivent cette fonctionnalité. Il revient alors à
l'administrateur de s'assurer que les applications proposant un canal
chiffré avec OpenSSL sont configurées pour refuser les demandes de
renégociation des clés de session. Par exemple, le module mod_ssl de
Apache rejette ces demandes dans les versions récentes.

Pour l'implémentation de Microsoft Windows (Schannel), les mises à jour
de Schannel.dll sont documentées dans l'avis de sécurité Microsoft
KB977377.

Ces mises à jour désactivent par défaut la renégociation de clés de
session initiée par le client. Il est important de bien noter que les
vulnérabilités adressées par ces mises à jour ne sont pas liées aux
exploitations malveillantes par déni de service décrites dans cette
alerte.

Cette mesure permet de prévenir l'exploitation la plus efficace de cette
vulnérabilité.

## 5 -.2 Surveillance et limitation des connexions TCP

L'autre technique ici utilisée est un déni de service plus classique
reposant sur la multiplication des connexions au serveur et le
déclenchement de traitements coûteux pour le serveur (ici
l'établissement de sessions SSL/TLS).

Dans ce contexte, il convient de recourir au moyen habituels de
prévention de ce risque :

-   Augmentation des capacités du serveur

    L'attaque reposant sur l'attrition des ressources du serveur, il
    peut suffir d'augmenter significativement les capacités de
    traitement afin de pouvoir absorber la charge de l'attaque sans
    impacter la charge normale de l'application.

-   Limitation du nombre de connexions

    L'application de mesures de limitation du nombre de connexions TCP
    simultanées va efficacement limiter l'accès de l'attaquant aux
    ressources du serveur et ainsi prévenir l'attaque.

-   Utilisation de matériel spécialisé type Hardware Security Module
    (HSM)

    Des matériels spécialisés type HSM permettent d'augmenter
    significativement le nombre de négociations SSL/TLS réaliséées par
    unité de temps et donc la résistance aux attaques. Lorsque ces
    boitiers sont utilisés, il est important de s'assurer que les
    protocoles acceptés par l'application côté serveur sont bien
    accélérés par ce matériel. En effet, si un protocole négocié entre
    le client et le serveur n'est pas accéléré alors la protection
    apportée par le dispositif n'est plus efficace.

Avis de sécurité Microsoft: Une vulnérabilité de TLS/SSL    pourrait permettre l'usurpation d'identité

Bulletin d'actualité CERTA-2009-ACT-046

ChangeLog OpenSSL

Avis CERTA-2009-AVI-482

version initiale.

Déni de service à distance

Summary:
Le CERTA constate un intérêt renouvelé pour l'exploitation malveillante
de la fonctionnalité de renégociation de clés de session du protocole
SSL/TLS afin de provoquer un déni de service.

Exploitation malveillante d'une fonctionnalité du protocole SSL afin de provoquer un déni de service


Toutes les versions supportées de Microsoft Windows sont  affectées à l'exception des éditions Core de Windows Server 2008 et Windows Serveur  2008 R2 qui ne sont pas affectées par cette vulnérabilité.

## Description

Le logiciel malveillant Duqu se propage notamment via l'exploitation
d'une vulnérabilité non corrigée dans les polices TrueType. À ce jour,
le code malveillant utilise pour vecteur un document Microsoft Word mais
toute application reposant sur la fonctionnalité des polices embarquées
est potentiellement vulnérable.

Pour mettre en œuvre son code d'exploitation, l'attaquant va intégrer à
un document une police malveillante dont le chargement par le système va
déclencher l'exécution de code arbitraire.

Enfin, il est important de prendre en compte les différents vecteurs que
la plateforme Windows propose en terme de transport de polices de
caractères.

La technologie Embedded Open Type (EOT) permet d'intégrer des polices
TrueType à des documents HTML. Lors de l'ouverture d'une page Web,
Internet Explorer va ouvrir le conteneur EOT et déclencher le chargement
par Windows de la police TrueType contenue provoquant alors l'exécution
de code arbitraire. Internet Explorer est le seul navigateur à supporter
la technologie Embedded Open Type.

Au moment de la publication de cet avis, seuls des contournements
provisoires sont disponibles. Une mise à jour de sécurité serait en
cours de développement par Microsoft.

## Contournement provisoire

Le contournement proposé par Microsoft repose sur le blocage des
fonctionnalités de polices embarquées (T2EMBED.DLL).

Les polices embarquées, par exemple dans un document, ne sont alors plus
transmises au composant Windows vulnérable en charge des polices
TrueType. Le déploiement du contournement implique que les applications
utilisant cette technologie connaîtront des problèmes d'affichage et/ou
d'impression, les polices embarquées n'étant plus utilisables.

Ce déploiement peut être réalisé par script ou via un paquetage de type
FixIt.

Ce contournement est aussi déployable par stratégies de groupe.

Le CERTA recommande de tester ce contournement avant tout déploiement à
grande échelle (notamment installation, fonctionnalités de base et
désinstallation).

## Solution

Se référer au bulletin de sécurité MS011-087 de l'éditeur pour les
détails d'obtention des correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft MS11-087 du 13 décembre 2011    :

Fiche de support technique 2639658 relatif au paquetage    FixIt :

Article de bloc-notes (blog) de Symantec sur l'installateur    Duqu :

Avis du CERTA CERTA-2011-AVI-684 du 14 décembre 2011 :

documentation des vecteurs HTML basés sur la technologie Embedded Open Type.

ajout de la référence CVE.

ajout du correctif Microsoft.

Exécution de code arbitraire à distance

Summary:
Symantec et le Laboratory of Cryptography and
System Security (CrySys) ont découvert une vulnérabilité non
corrigée et exploitée sur l'Internet par le logiciel malveillant Duqu.
Microsoft a publié un avis de sécurité 2639658 détaillant les mesures de
protection immédiates pouvant être mises en œuvre.

Exploitation d'une vulnérabilité dans la gestion des polices TrueType sur Windows

Avis de sécurité Microsoft 2639658


ftpd fourni avec FreeBSD versions 8.2 et inférieures ;

ProFTPD sur FreeBSD.

ftpd fourni avec FreeBSD versions 8.2 amd64 et inférieures ;

## Description

Une vulnérabilité est présente dans ftpd et ProFTPD sur FreeBSD. Elle
permet à un utilisateur malintentionné distant d'exécuter du code
arbitraire avec les privilèges administrateur (root). L'attaque est
possible si :

-   l'attaquant est en mesure de se connecter au serveur FTP en
    utilisant un compte utilisateur valide qui sera dans un
    environnement cloisonné (chroot), ou en tant qu'utilisateur anonyme
    avec les droits en écriture dans son répertoire racine ;
-   le compte FTP utilisé possède les droits en écriture dans les
    répertoires lib et etc ou peut les créer s'ils n'existent pas.

L'attaque consiste à copier des fichiers, dont une bibliothèque
malveillante dans le réperoire lib. La bibliothèque malveillante est
ensuite chargée lorsqu'une commande FTP particulière est effectuée.

Une preuve de faisabilité est disponible sur Internet.

## Contournement provisoire

Supprimer les droits en écriture sur les dossiers lib et etc permet
d'empêcher l'attaquant de déposer les fichiers nécessaires à
l'exploitation de la vulnérabilité.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Avis de sécurité FreeBSD FreeBSD-SA-11:07 du 23 décembre    2011 :

version initiale.

ajout des correctifs FreeBSD.

Élévation de privilèges

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité présente dans ftpd et
ProFTPD sur FreeBSD permet à une personne
malintentionnée distante d'exécuter du code arbitraire avec les
privilèges administrateur (root).

Vulnérabilité dans ftpd et ProFTPD sur FreeBSD