Microsoft Office 2004 pour Mac.

Microsoft Office 2000 ;

Microsoft Office XP ;

Microsoft Office 2003 ;

## Description

Une vulnérabilité a été identifiée dans Microsoft Office. Il s'agirait
d'une mauvaise interprétation d'une chaîne de caractères dans un fichier
Office qui provoquerait un débordement de mémoire. Une personne
malveillante pourrait diffuser un fichier spécialement construit (en
pièce jointe d'un courrier électronique, ou par téléchargement sur une
page Web par exemple), afin de provoquer, lors de son ouverture,
l'exécution de code arbitraire sur la machine vulnérable.

Un code exploitant cette vulnérabilité est actuellement en circulation.
Il se présente sous la forme d'un fichier Excel, et permettrait
d'installer un Cheval de Troie sous Windows XP Service Pack 2. Il
provoquerait sinon une perturbation (fermeture inopinée) de
l'application Excel sur d'autres versions du système d'exploitation
Microsoft Windows.

L'éditeur d'anti-virus McAfee le prénomme Exploit-MSExcel.h. Il se
caractérise par la création d'un fichier top10.exe dans le répertoire
TEMP.

Il n'existe pas de correctif officiel pour le moment.

## Contournement provisoire

## 5.1 Utiliser un logiciel alternatif

Le CERTA recommande d'utiliser des applications alternatives pour
visualiser les documents Office, et notamment, pour les fichiers au
format Excel, des tableurs comme Gnumeric ou celui de OpenOffice.org.

## 5.2 Mettre à jour la base de signatures d'antivirus

Certains éditeurs d'antivirus proposent déjà des mises à jours de
signatures prenant en compte les codes malveillants sous sa forme
actuelle. Il est cependant probable que des variantes apparaissent afin
de contourner ces antivirus.

## 5.3 Filtrer les pièces jointes au niveau des passerelles

Dans la mesure du possible, il est recommandé de filtrer les fichiers au
format Excel (extension .xls) au niveau des passerelles (messagerie, web
...).

## 5.4 N'ouvrir que les documents provenant de sources de confiance

A la reception d'un document au format Excel soit par le biais de la
messagerie électronique ou sur tout autre support, il est nécessaire de
s'assurer de la provenance de ce fichier et de ne l'ouvrir que si la
source est de confiance et après analyse par un antivirus à jour.

## 5.5 Limiter l'impact en utilisant un compte utilisateur sans privilège

L'utilisation de compte n'ayant pas de droits d'administration permet de
limiter l'infection au contexte de l'utilisateur.

## Solution

Appliquer les correctifs tel que décrit sur le site de l'éditeur (cf.
Documentation);

Annonce du laboratoire de McAfee du 02 février 2007 :

version initiale.

Ajout de la solution.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été identifiée dans Microsoft Office. Elle est
actuellement exploitée par le biais de l'application Excel. Une personne
malveillante pourrait diffuser un fichier spécialement construit (en
pièce jointe d'un courrier électronique, ou par téléchargement sur une
page Web par exemple), afin de provoquer, lors de son ouverture,
l'exécution de code arbitraire sur la machine vulnérable.

Vulnérabilité dans Microsoft Office

Avis de sécurité Microsoft 932553 du 02 février 2007


Sun Solaris Express.

Sun Solaris 10 ;

## Description

Une vulnérabilité a été découverte dans la conjonction du service
telnetd et de la commande /usr/cmd/login. Cette vulnérabilité peut être
exploitée par une personne distante afin de se connecter à la machine
vulnérable sous un nom d'utilisateur légitime, à condition d'en
connaître un. Le système n'est cependant vulnérable qu'à la condition où
le service telnetd soit démarré avec les droits root.

L'exploitation de cette vulnérabilité est triviale et un code
d'exploitation circule sur l'Internet. D'autres services de connexion à
distance présentent potentiellement le même type de vulnérabilité.

28 février 2007 : le CERTA a été informé de la propagation d'un ver
exploitant cette vulnérabilité. Des méthodes pour le détecter sont
fournies par Sun à l'adresse ci-dessous :

    http://blogs.sun.com/security/entry/solaris_in_telnetd_worm_seen

## Contournement provisoire

Désactiver le service telnetd grâce à la commande suivante :

    svcadm disable telnetd

Par précaution, désactiver de la même manière les services rlogind,
klogin, eklogin :

    svcadm disable rlogind
    svcadm disable klogin
    svcadm disable eklogin

Il est également recommandé de vérifier que l'accès au port TCP 23 est
correctement filtré au niveau des pare-feux, en accord avec la politique
de sécurité.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Sun #201391 du 28 février 2007 :

version initiale.

ajout d'informations concernant la propagation d'un ver et solution.

passage en statut corrigé, ajout de la référence CVE.

Contournement de la politique de sécurité

Summary:
Une vulnérabilité permettant une connexion non légitime à distance a été
découverte dans le système d'exploitation Sun Solaris.

Vulnérabilité de Sun Solaris


Microsoft Office 2000 ;

Microsoft Office XP.

## Description

Le composant Word de la suite bureautique Microsoft Office est
vulnérable à une attaque de type corruption de mémoire par le biais
d'une chaîne de caractère malformée.

L'exploitation de cette vulnérabilité permet à un utilisateur
malintentionné d'exécuter du code arbiraire sur la machine vulnérable.

Du code d'exploitation circule sur Internet.

## Contournement provisoire

-   N'ouvrir que les documents bureautiques provenant de sources de
    confiance ;
-   utiliser une suite bureautique alternative.

Le CERTA a publié le 09 mai 2007 l'avis CERTA-2007-AVI-204. Ce dernier
indique que Microsoft corrige cette vulnérabilité, détaillée dans son
bulletin de sécurité MS07-024.

## Solution

Se référer au bulletin de sécurité MS07-024 de Microsoft pour
l'obtention des correctifs (cf. section Documentation). Ce dernier est
présenté dans l'avis CERTA-2007-AVI-204.

Bulletin de sécurité Microsoft 933052 du 14 février 2007 :

Avis CERTA-2007-AVI-204 du 09 mai 2007 :

version initiale.

ajout des références au bulletin de sécurité MS07-024 et CERTA-2007-AVI-204.

Exécution de code arbitraire à distance

Summary: Une vulnérabilité a été découverte dans le logiciel Word.

Vulnérabilité dans le logiciel Microsoft Word

Bulletin de sécurité Microsoft du 14 février 2007


Microsoft Windows XP ;

Microsoft Windows 2000.

## Description

Microsoft Windows Explorer utilise une bibliothèque permettant
d'analyser les informations contenues dans des documents Microsoft
Office.

La bibliothèque OLE32.dll serait sensible à une attaque de type
corruption de mémoire par le biais d'un document Microsoft Office
spécialement conçu.

L'exploitation de cette vulnérabilité permet au minimum de réaliser un
déni de service.

Du code d'exploitation circule sur Internet.

## Contournement provisoire

## 5.1 Utiliser un format de document alternatif

Le CERTA recommande l'utilisation d'un format de document alternatif tel
que le RTF.

## 5.2 Utiliser un logiciel alternatif

Le CERTA recommande d'utiliser un outil de visualisation des documents
au format Word alternatif à jour (WordPad ou AbiWord).

## 5.3 Mettre à jour la base de signatures d'antivirus

Certains éditeurs d'antivirus proposent déjà des mises à jours de
signatures prenant en compte les codes malveillants sous sa forme
actuelle. Il est cependant probable que des variantes apparaissent afin
de contourner ces antivirus.

## 5.4 Filtrer les pièces jointes au niveau des passerelles

Dans la mesure du possible, il est recommandé de filtrer les fichiers au
format Word (extension .doc) au niveau des passerelles (messagerie, web
...).

## 5.5 N'ouvrir que les documents provenant de sources de confiance

A la reception d'un document au format doc soit par le biais de la
messagerie électronique ou sur tout autre support, il est nécessaire de
s'assurer de la provenance de ce fichier et de ne l'ouvrir que si la
source est de confiance et après analyse par un antivirus à jour.

## 5.6 Limiter l'impact en utilisant un compte utilisateur sans privilège

L'utilisation de compte n'ayant pas de droits d'administration permet de
limiter l'infection au contexte de l'utilisateur.

## Solution

L'éditeur affirme que cette vulnérabilité ne permet pas d'exécuter du
code arbitraire. Cette vulnérabilité ne justifiant plus le même niveau
de vigilance le CERTA a décidé de réévaluer cette alerte.

Note de vulnérabilité de l'US-CERT VU#194944 du 07 mars    2007 :

version initiale.

réévaluation de l'alerte (passage en statut corrigé).

Déni de service

Summary:
Une vulnérabilité a été découverte dans une bibliothèque de Microsoft
Windows.

Vulnérabilité de Microsoft Windows Explorer

Alerte VU#194944 de l'US-CERT


A la date de rédaction de ce bulletin d'alerte, la liste des  systèmes affectées peut encore évoluer.

Microsoft Windows 2000 Service Pack 4 ;

Microsoft Windows XP Service Pack 2 ;

Microsoft Windows XP 64-bit Edition Version 2003 (Itanium)    ;

Microsoft Windows XP Professional x64 Edition ;

Microsoft Windows Server 2003 ;

Microsoft Windows Server 2003 pour systèmes Itanium (avec    SP1 et SP2) ;

Microsoft Windows Server 2003 Service Pack 1 et Service    Pack 2 ;

Microsoft Windows Server 2003 x64 Edition ;

Microsoft Windows Server 2003 x64 Edition Service Pack 2    ;

Microsoft Windows Vista.

## Description

Cette vulnérabilité permettrait à un utilisateur distant malintentionné
d'exécuter du code arbitraire au moyen d'un fichier de données animées
(icône ou curseur) (.ani) spécialement construit. L'exploitation de
cette vulnérabilité ne nécessite aucune interaction de la part de
l'utilisateur, dans la mesure où Internet Explorer interprète ce type de
fichiers sans action particulière. L'infection peut également avoir lieu
par ouverture de courrier via Outlook ou par téléchargement d'un tel
fichier ANI (transferts par USB par exemple). Cette vulnérabilité ne
concerne pas directement Outlook et Internet Explorer, mais la
bibliothèque de fonctions user32.dll de Microsoft Windows.

Cette vulnérabilité est massivement exploitée sur l'Internet et
Microsoft a publié l'avis de sécurité 935423 à ce sujet.

03 avril 2007 :

Le CERTA a publié l'avis CERTA-2007-AVI-156, suite à la publication du
bulletin de sécurité MS07-017 par Microsoft.

## Contournement provisoire

-   Filtrer les fichiers (icône ou curseur) (.ani) au niveau des
    serveurs mandataires ou locaux ;
-   utiliser un navigateur Internet alternatif à Microsoft Internet
    Explorer ;
-   configurer les clients de messagerie de manière à afficher les
    messages électroniques en texte brut. Cette solution est cependant
    imparfaite.

## Solution

Appliquer le correctif annoncé par Microsoft dans le bulletin de
sécurité MS07-017 du 03 avril 2007.

Article concernant le premier ver exploitant la    vulnérabilité de cet avis, ISC SANS :

Avis de sécurité Microsoft 935423 du 29 mars 2007 :

Avis CERTA CERTA-2005-AVI-011 du 12 janvier 2005 :

Description du code malveillant    ``Exploit-ANIfile.c'' détecté par McAfee :

Avis CERTA-2007-AVI-156 du 03 avril 2007 :

Bulletin de sécurité Microsoft MS07-017 du 03 avril 2007 :

Annonce de sécurité sur le Web Log McAfee du 28 mars 2007 :

Description du code malveillant    ''TROJ_ANICMOO.AX'' détecté par Trend Micro :

Bulletin de sécurité Microsoft MS05-002 du 11 janvier 2005    :

version initiale.

ajout de la référence CVE.

ajout de références concernant l'exploitation massive de la vulnérabilité.

ajout de la référence au bulletin de sécurité Microsoft MS07-017.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité non corrigée présente dans Microsoft Windows ferait
actuellement l'objet d'une exploitation à distance à l'aide d'un code
malveillant , nommé par certains antivirus Exploit-ANIfile.c ou
TROJ_ANICMOO.AX. Cette vulnérabilité serait liée à celle corrigée par
Microsoft dans le bulletin de sécurité MS05-002 du 11 janvier 2005 et
détaillée dans CERTA-2005-AVI-011.

Vulnérabilité dans Mirosoft Windows

Annonce de sécurité sur le bloc-notes McAfee du 28 mars 2007


<TT>BrightStor ARCServe Backup</TT>  versions <TT>11.5 SP2 build 4237</TT> et antérieures.

## Description

Un manque de contrôle des requêtes RPC (Remote Procedure Call) passées
au composant mediasvr.exe de BrightStor ARCServe Backup permettrait à un
utilisateur distant mais provenant du même réseau d'exécuter du code
arbitraire par le biais d'une requête RPC construite de façon
particulière. Il existe une preuve de faisabilité mettant en œuvre cette
vulnérabilité sur l'Internet.

Cette vulnérabilité a été corrigée et a fait l'objet de l'avis
CERTA-2007-AVI-188.

## Contournement provisoire

Dans la mesure où cette vulnérabilité offre à l'attaquant la possibilité
de contrôler la machine à distance, il convient de :

-   ne pas rendre accessible depuis l'Internet la machine mettant en
    œuvre BrightStor ARCServe Backup ;
-   restreindre l'accès au service mediasvr.exe aux seules machines
    autorisées à dialoguer via RPC avec lui.

## Solution

Se référer au bulletin de sécurité de l'éditeur (voir Documentation).

Avis CERTA-2007-AVI-188 du 25 avril 2007 :

version initiale.

ajout de la section Solution, des références au bulletin de sécurité Computer Associates et des entrées CVE.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans BrightStor ARCServe Backup permettrait à un
utilisateur distant d'exécuter du code arbitraire sur la machine
vulnérable.

Vulnérabilité dans BrightStor ARCServe Backup

Bulletin de sécurité Computer Associates du 24 avril 2007

Bulletin de sécurité Secunia SA24682 du 30 mars 2007


Microsoft Windows Server 2003 Service Pack 1 ;

Microsoft Windows Server 2003 Service Pack 2.

Microsoft Windows 2000 Service Pack 4 ;

## Description

Une vulnérabilité a été identifiée dans Microsoft DNS Server. Un
débordement de tampon est possible via des appels RPC (pour Remote
Procedure Call). Cette vulnérabilité permet d'exécuter du code
arbitraire à distance avec les droits de l'utilisateur local SYSTEM.

Elle peut être exploitée via les ports RPC, de 1024 à 5000 (TCP ou UDP)
ou, par un utilisateur authentifié, via les ports 445/TCP et 139/TCP.

Le trafic des serveurs DNS devrait être limité aux ports dédiés, i.e. 53
TCP/UDP. Cependant, dans de nombreux cas, les serveurs DNS Microsoft
sont utilisés dans les réseaux locaux, et cumulent d'autres services
(FTP, HTTP, etc.). Ils peuvent aussi être installés par défaut avec un
Active Directory. Tout ceci contribue à rendre le filtrage de ces
machines difficiles à maîtriser.

Des codes d'exploitation sont actuellement largement diffusés sur
l'Internet. Cette vulnérabilité a été évoquée dans le bulletin
d'actualité CERTA-2007-ACT-015.

L'avis CERTA-2007-AVI-209 sorti le 09 mai 2007 signale la publication de
correctifs détaillés dans le bulletin de sécurité Microsoft MS07-029.

## Contournement provisoire

Quelques contournements sont possibles pour limiter les risques :

1.  Modifier dans la clé de registre suivante

        HKLM\SYSTEM\CurrentControlSetService\Services\DNS\Parameters

    la valeur du paramètre RpcProtocol :

    -   la valeur 4 permet d'interdire la gestion et la configuration
        distante du serveur DNS par RPC ou WMI. Cependant, cela est
        toujours possible localement, ou par un accès Terminal Serveur.
    -   la valeur 0 désactive toute possibilité de gestion DNS par RPC
        (administration locale et configuration). Ce choix est donc
        fortement recommandé dans la mesure du possible.

2.  Vérifier la politique de filtrage vis-à-vis des serveurs DNS
    Microsoft, et notamment les règles qui concernent le trafic à
    destination des ports TCP ou UDP 445, 139 et de 1024 à 5000. Si
    ceux-ci ne sont pas nécessaires, ils doivent être bloqués.

3.  Utiliser des outils de surveillance périphériques à jour
    (renifleurs, ou sondes de détection d'intrusions), et analyser les
    journaux du serveur, afin de déterminer toute activité suspecte.

## Solution

Se référer au bulletin de sécurité Microsoft MS07-029 pour l'application
des correctifs (cf. Documentation).

Avis CERTA-2007-AVI-209 du 09 mai 2007 :

Bulletin Microsoft MS07-029 du 08 mai 2007 :

Alerte de sécurité de l'US-CERT TA07-103A du 13 avril 2007    :

Document du CERTA CERTA-2007-ACT-015 du 13 avril 2007 :

version initiale.

ajout de la surveillance du port 139/TCP et ajout de la référence au bulletin de sécurité de Microsoft.

ajout des références aux bulletins MS07-029 et CERTA-2007-AVI-209.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été identifiée dans Microsoft DNS Server. Un
débordement de tampon est possible via l'interface RPC (pour Remote Procedure Call). Cette vulnérabilité permet
d'exécuter du code arbitraire à distance avec les droits de
l'utilisateur local SYSTEM.

Vulnérabilité de Microsoft DNS Server

Avis de sécurité Microsoft 935964 du 12 avril 2007


Microsoft Internet Information Services  (IIS) version 5.

## Description

Une vulnérabilité a été découverte dans le composant d'indexation
(Indexing Service) des serveurs Microsoft IIS. Dans sa configuration par
défaut, il est en effet possible d'accéder à des fichiers protégés ou au
code source des pages asp d'un tel serveur si la procédure
d'authentification mise en place est de type « authentification basique
» (basic authentication) ou authentification NTLM et si les droits NTFS
le permettent.

En effet, le service d'indexation n'utilise pas les procédures
d'authentification d'IIS pour accéder aux fichiers indexés mais celle du
système de fichiers uniquement. Normalement, on pourrait se protéger de
cela en requérant l'authentification basique ou NTLM voulue directement
sur le fichier .htw qui est appelé pour afficher le contenu indexé.
Toutefois, il existe un fichier virtuel Null.htw qui n'est pas
configurable; dans la configuration par défaut, celui-ci peut donc être
appelé par un utilisateur malveillant pour afficher du contenu indexé au
moyen d'un requête spécialement construite.

Le composant d'indexation est installé par défaut dans IIS 5.

## Contournement provisoire

Il est fortement conseillé de désinstaller ou de désactiver le service
d'indexation.

Dans le cas contraire, d'autres contournements sont possibles :

-   configurer le service d'indexation correctement pour qu'il n'utilise
    pas le fichier Null.htw et requérir l'authentification sur le
    fichier .htw utilisé ;
-   mettre en oeuvre le contrôle de droits d'accès directement sur les
    fichiers et les répertoires du serveur, via les mécanismes d'ACL
    fournis par NTFS ;
-   effectuer un filtrage des URLs afin de rendre inaccessible l'accès à
    des fichiers dont l'extension est .htw ;
-   utiliser un serveur web alternatif.

Se référer au bulletin de sécurité de l'éditeur pour plus de détails.

## Solution

La solution consiste à désinstaller ou à désactiver le service
d'indexation et le surlignage des éléments correspondants. Information
Internet Services version 5.0 ( IIS ) n'est plus supporté par Microsoft.
La version 5.1 de IIS n'est pas impactée car le service d'indexation et
le surlignage des éléments correspondants ne sont pas installés. La
version 6.0 n'est pas impactée car le service d'indexation est installé
mais le surlignage des éléments correspondants est désactivé. La version
7.0 est aussi non impactée car le service d'indexation n'est pas
installé et le surlignage des éléments correspondants est désactivé
lorsque le service d'indexation est installé.

Bulletin kb328832 de Microsoft du 05 juin 2007, mis à jour    le 5 mars 2008 :

version initiale.

mise à jour des produits affectés, de la description et du contournement provisoire.

mise à jour des produits affectés et fermeture de l'alerte.

Atteinte à la confidentialité des données

Summary:
Une vulnérabilité a été découverte dans le composant d'indexation des
serveurs Microsoft IIS. Elle permet d'accéder à des fichiers via un
contournement de la politique d'authentification mise en place.

Vulnérabilité du composant d'indexation des serveurs Microsoft IIS

Alerte du SANS du 03 juin 2007


Firefox versions 2.0.0.4 et  antérieures.

## Description

Plusieurs vulnérabilités dont certaines ont déjà été abordées dans nos
bulletins d'actualités sont présentes dans le navigateur Mozilla Firefox
:

-   une première concerne une erreur mal corrigée relative au contexte
    de navigation ressource:// qui permettrait un accès à certains
    fichiers de la machine vulnérable. Un article dans le bulletin
    d'actualité CERTA-2007-ACT-020 détaille cette vulnérabilité. Il est
    à noter que la faille n'est que partiellement corrigée et permet
    encore l'accès à certains fichiers.
-   une seconde concerne le système de mise à jour des extensions dans
    Firefox. Un manque de contrôle dans la manière dont les mises à jour
    des extensions sont effectuées permet l'utilisation de protocoles
    non-sûrs. Les détails de cette faille sont présentés dans
    CERTA-2007-ACT-022.
-   une troisième et dernière vulnérabilité plus récente se rapporte à
    la gestion des IFRAMES et permettrait d'associer une gestion
    arbitraire d'événements comme des frappes claviers dans le contexte
    d'une page particulière. Ainsi, il serait possible de capturer des
    éléments fournis par un utilisateur dans un formulaire et cela à son
    insu.
-   une quatrième vulnérabilité est dûe au fait que Firefox ne filtre
    pas correctement les extensions des fichiers qui lui sont fournis en
    URL. Il est ainsi possible de modifier le comportement de Firefox
    vis-à-vis d'un fichier par le biais d'une extension construite de
    façon particulière. Cette faille permet donc à un utilisateur
    malveillant d'exécuter du code arbitraire à distance.

## Contournement provisoire

De façon générale et en particulier pour la troisième vulnérabilité, il
est fortement recommandé de désactiver par défaut le support des
Javascript dans Firefox.
L'accumulation de vulnérabilités dans Firefox peut rendre également
préférable l'utilisation d'un navigateur alternatif autre que ceux basés
sur le moteur de rendu de Firefox : Gecko.

## Solution

Se reporter à la mise à jour de Mozilla Firefox, version 2.0.0.5,
publiée le 17 juillet 2007, et détaillée dans l'avis CERTA-2007-AVI-318.

Bulletin d'actualité CERTA-2007-ACT-022 du 01 juin 2007 :

Avis du CERTA CERTA-2007-AVI-318 du 18 juillet 2007 :

Bulletin d'actualité CERTA-2007-ACT-020 du 18 mai 2007 :

Rapport de coquille Mozilla #382686 :

Rapport de coquille Mozilla #381300 :

version initiale ;

ajout de la quatrième vulnérabilité relative aux extensions de fichiers ;

ajout des références CVE.

ajout de la section <TT>Solution</TT>, suite à la publication de la nouvelle version 2.0.0.5 de Firefox.

Exécution de code arbitraire à distance

Summary:
Plusieurs vulnérabilités sont présentes dans Mozilla Firefox et
permettent à un utilisateur distant de porter atteinte à la
confidentialité des données ou potentiellement d'exécuter du code
arbitraire sur la machine vulnérable.

Multiples vulnérabilités dans Mozilla Firefox


Les navigateurs utilisant le moteur de rendu de Mozilla  (<TT>Gecko</TT>) sont vulnérables sur Microsoft Windows XP SP2,  notamment :

Mozilla Firefox 2.0.0.5 ;

Netscape Navigator 9.

## Description

Une vulnérabilité a été identifiée concernant Mozilla Firefox
fonctionnant sur des systèmes Windows XP SP2 sur lesquels Internet
Explorer 7 est installé. Il n'est pas exclu que d'autres systèmes
d'exploitation et navigateurs soient impactés.

Par le biais d'une URI spécifiquement construite, un attaquant peut
faire en sorte que le traitement d'URI applicatives (par exemple
mailto:, news:, nntp:, snews) soit réalisé comme celui d'une URI de type
FileType. Une personne malintentionnée peut ainsi exécuter des commandes
arbitraires à distance via des liens malveillants.

Des preuves de faisabilité ont été publiées sur l'Internet et peuvent
être trivialement modifiées pour effectuer des actions malveillantes.

## Contournement provisoire

## 5.1 Pour les utilisateurs

Le contournement provisoire consiste à désactiver l'appel par Mozilla
Firefox d'applications externes pour mettre en œuvre certains
protocoles.

-   dans la barre d'adresse de Firefox, taper about:config ;
-   dans le filtre, taper protocol pour obtenir la liste des options
    utiles ;
-   mettre les valeurs network.protocol-handler.external.XX (eg.
    network.protocol-handler.external.snews) ainsi que
    network.protocol-handler.external-default à "false" en double
    cliquant dessus ;

Un autre contournement moins contraignant consiste à forcer l'affichage
d'avertissements en fixant les champs
network.protocol-handler.warn-external.XX à "true".

Le CERTA rappelle également l'importance de vérifier les liens, de
cliquer avec précaution, ou de taper manuellement l'adresse. Il est
aussi recommandé de lancer le navigateur avec un utilisateur disposant
de privilèges limités.

## 5.2 Pour les administrateurs

Le contournement consiste à bloquer tout trafic utilisant des URI non
classiques (en général, tout sauf http:, https:, ftp:). Il peut être
possible de coupler ce filtre en le limitant aux navigateurs utilisant
le moteur de rendu Gecko (filtrer sur le referrer).

## Solution

Se reporter à la mise à jour de Mozilla Firefox, version 2.0.0.6,
publiée le 30 juillet 2007 et détaillée dans l'avis CERTA-2007-AVI-337.

Bulletin de l'US CERT VU#783400 du 26 juillet 2007 :

Bulletin d'actualité CERTA-2007-ACT-030 du 27 juillet 2007    :

Bulletin de l'US CERT VU#403150 du 27 juillet 2007 :

Avis du CERTA CERTA-2007-AVI-337 du 31 juillet 2007 :

Rapport de coquille Mozilla #389580 du 25 juillet 2007 :

version initiale ;

mise à jour du contournement provisoire pour administrateurs et ajout d'une référence ;

ajout de la section solution suite à la publication de la nouvelle version 2.0.0.6 de Firefox.

Exécution de commandes arbitraires à distance

Summary:
Une vulnérabilité dans le traitement de certaines URI sous Mozilla
Firefox sur Windows XP SP2 permet à une personne malintentionnée
d'exécuter des commandes arbitraires à distance.

Vulnérabilité dans Mozilla Firefox


Apple QuickTime 7.2 et versions antérieures sur Microsoft  Windows.

## Description

Une vulnérabilité a été identifiée dans Apple QuickTime. Ce lecteur
multimédia permet à une personne de spécifier un média à lire après
l'exécution du média courant (option QTNEXT d'un fichier multimédia).
Cette fonctionnalité peut cependant être détournée pour exécuter du code
Javascript, et donc du code arbitraire sur le poste de l'utilisateur.
L'interpréteur Javascript utilisé est le navigateur Internet par défaut
de l'utilisateur.

Des codes de démonstration sont disponibles sur l'Internet et
fonctionnent si Mozilla Firefox est le navigateur par défaut, sur
Microsoft Windows. Les autres systèmes d'exploitation ne semblent pas
concernés mais le navigateur Netscape Navigator, basé sur le même moteur
de rendu que Firefox, est aussi vulnérable.

Pour résumer, les problèmes rencontrés sont :

-   QuickTime n'offre pas la possibilité de bloquer le Javascript ;
-   QuickTime associé à un navigateur comme Mozilla Firefox ne respecte
    pas la politique du navigateur liée au Javascript.

Il est important de noter que l'utilisation d'un navigateur alternatif
ne contourne pas le problème si Mozilla Firefox est défini comme
navigateur par défaut.

## Contournements provisoires

Quelques contournements sont envisageables :

1.  -   ouvrir la fenêtre about:config ;
    -   filtrer les options en tapant protocol ;
    -   mettre l'option network.protocol-handler.external.javascript à
        la valeur true.

    Ceci n'empêche pas l'exploitation mais avertit l'utilisateur
    lorsqu'une application externe appelle l'interpréteur Javascript de
    Firefox.

2.  l'utilisation d'une extension telle que NoScript peut bloquer
    l'exécution de code si l'option Forbid scripts globally est activée.

3.  définir un navigateur alternatif non basé sur le moteur de rendu
    Gecko comme navigateur par défaut. Des tests internes au CERTA ont
    montré que Seamonkey 1.1.4 ne semble pas vulnérable mais il convient
    de rester prudent.

Le meilleur contournement à la date de rédaction de cette alerte
consiste à désinstaller complètement l'application QuickTime dans
l'attente d'un correctif d'Apple et/ou Mozilla.

## Solution

L'éditeur Mozilla a publié un correctif pour le navigateur Firefox
(version 2.0.0.7) qui empêche l'exécution de scripts arbitraires via une
ligne de commande avec le paramètre -chrome.

Apple a également publié un correctif (7.2.0.245) pour Quicktime. (cf.
section Documentation).

Entrée sur le bloc-notes Mozilla du 12 septembre 2007 :      /

Bulletin de sécurité Mozilla MFSA 2007-28 du 18 septembre    2007 :

Avis du CERTA CERTA-2007-AVI-407 du 19 septembre 2007 :

Bulletin de sécurité Apple 306560 du 03 octobre 2007 :

Rapport de bogue #395942 de Mozilla :

Bulletin d'actualité CERTA-2007-ACT-037 - « Vulnérabilité    sur Quicktime et Firefox » :

Bulletin d'actualité CERTA-2007-ACT-011 - « Le Javascript    est omniprésent » :

version initiale ;

mise à jour des systèmes affectés, de la description, des contournements et ajout de références ;

mise à jour de la solution et de la documentation ;

ajout d'une référence CVE et du correctif pour Quicktime.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité touchant Apple QuickTime permet à une personne
malintentionnée d'exécuter du code arbitraire à distance.

Vulnérabilité dans Apple QuickTime


Windows XP SP 2 avec Internet Explorer    7 installé ;

Windows 2003 Server SP2 avec Internet    Explorer 7 installé.

D'autres versions de Windows peuvent être affectées, le  principal prérequis étant la présence d'Internet Explorer 7.

## Description

Une vulnérabilité dans le traitement des URI dans Windows permet
l'exécution de commandes à distance. La présence d'Internet Explorer 7
(IE7) est nécessaire pour l'exploitation de cette vulnérabilité, car la
gestion des URI est liée à ce programme. Cette alerte est une extension
de l'alerte CERTA-2007-ALE-013, plusieurs applications étant concernées
par cette vulnérabilité. Plus précisément, les chaînes de caractères
passées en argument de certaines URI ne sont contrôlées ni par IE7 qui
en assure le traitement, ni par un certain nombre d'applications (comme
Acrobat Reader, Miranda, etc.) qui appellent la fonction vulnérable de
Windows.

Il n'existe pour le moment aucun contournement provisoire pour ce
problème qui n'ait de conséquences lourdes pour le fonctionnement du
système et des applications. Il est toutefois possible que des éditeurs
proposent des correctifs ou des contournements pour leur application,
comme ce fut le cas pour Mozilla Firefox (voir alerte
CERTA-2007-ALE-013) ou Adobe Reader (voir Documentation).

Mise à jour du 11 octobre 2007 :

Microsoft vient de publier l'avis de sécurité 943521 confirmant le
problème.

Mise à jour du 24 octobre 2007 :

Adobe publie un correctif pour la version 8.1 des produits vulnérables.

Mise à jour du 14 novembre 2007 :

Microsoft publie un correctif décrit dans son bulletin MS07-061. Ce
dernier est présenté dans l'avis CERTA-2007-AVI-489.

## Contournements provisoires

Les contournements ne sont pas simples, comme il a été mentionné dans la
section ci-dessus. Néanmoins, quelques mesures peuvent être entreprises
pour limiter les risques :

-   des règles de filtrage concernant des liens suspects peuvent être
    mises en place au niveau des passerelles Web ou de messagerie qui
    inspectent le contenu. Par exemple, le champ mailto: ne doit pas
    être a priori suivi d'une chaîne de caractère contenant ../.. ou %,
    mais d'une adresse électronique valide. Des règles peuvent également
    être précisées pour les champs de type : http:, etc. De manière
    générale, tout type de liens qui n'est pas attendu ou explicitement
    autorisé doit être filtré.
-   les fichiers aux formats PDF peuvent être convertis dans d'autres
    formats (HTML, PS, TXT) ;
-   des clés de registre peuvent être modifiées au niveau des postes
    clients pour l'interprétation des champs protocolaires. Cette
    solution a été abordée dans une alerte publiée par Adobe. Elle est
    cependant assez radicale, et peut provoquer plusieurs
    dysfonctionnements.

## Solution

Appliquer les correctifs décrits dans le bulletin de sécurité MS07-061
de Microsoft publié le 13 novembre 2007.

Bulletin de sécurité Adobe ASPB07-18 du 22 octobre 2007 :

Bulletin de sécurité Microsoft MS07-061 du 13 novembre 2007    :

Avis CERTA-2007-AVI-489 du 14 novembre 2007 :

Commentaires de Microsoft aux développeurs concernant la    gestion des manipulateurs de protocoles :

Document du CERTA CERTA-2007-AVI-455 du 24 octobre 2007 :

Avis de sécurité Microsoft 943521 du 10 octobre 2007 :

Alerte CERTA-2007-ALE-013 du 31 juillet 2007 :

Bulletin de sécurité Adobe du 05 octobre 2007 :

version initiale.

ajout de l'avis 943521 de Microsoft et de la référence CVE associée.

ajout de l'avis ASPB07-18 d'Adobe et de la référence CVE associée.

ajout de la référence au bulletin MS07-061 de Microsoft.

Summary:
Une vulnérabilité dans la gestion des URI dans Windows permet
l'exécution de commandes arbitraires à distance.

Vulnérabilité dans le traitement des URI sous Windows


## Description

Une vulnérabilité a été découverte dans la version 10g R2 de la base de
données Oracle. Cette vulnérabilité est due à un débordement de mémoire
au niveau de la procédure XDB_PITRIG_PKG.PITRIG_DROPMETADATA, via une
très grande taille des arguments OWNER et NAME.

L'exploitation de cette vulnérabilité conduit à l'exécution de code
arbitraire à distance.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Oracle du 15 janvier 2008 :

version initiale.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité d'Oracle 10g permet à une
personne distante d'exécuter du code arbitraire.

Vulnérabilité d'Oracle 10g

Bulletin de sécurité iDefense du 07 novembre 2007


La version 7.5 d'Apple iTunes ainsi que les versions antérieures.

La version 7.3 d'Apple QuickTime ainsi que les versions antérieures ;

## Description

Une vulnérabilité a été identifiée dans le logiciel multimédia Apple
QuickTime. Ce dernier ne manipulerait pas correctement un champ dans
l'en-tête des réponses retournées par le serveur de flux RTSP.

RTSP (pour Real Time Streaming Protocol) est un protocole permettant
d'établir et de contrôler des flux synchronisés de médias continus
(streaming), qu'ils soient audio ou vidéo. Il est conceptuellement très
proche de HTTP : il est à état et utilise la notion de session.

Lorsque le client envoie une requête au serveur, ce dernier retourne une
réponse, avec un champ Content-Type.

Apple QuickTime n'interpréterait pas correctement la valeur de ce champ.
Cette vulnérabilité peut ainsi être exploitée par une personne distante,
qui aura pris soin de mettre en place un serveur de flux répondant par
cette vulnérabilité. L'utilisateur amené à récupérer le flux multimédia,
par un lien par exemple provoquera le dysfonctionnement, voire
l'exécution de code arbitraire sur son sytème vulnérable.

## Contournement provisoire

## 5.1 De manière générale

Il est préférable, dans l'attente d'un correctif, d'utiliser un lecteur
multimédia alternatif.

L'administrateur du réseau peut également vérifier que les flux sortants
TCP/UDP vers le port 554 sont bloqués. Ces ports sont ceux par défaut
attribués au protocole Real Time Streaming Protocol, mais peuvent être
changés et remplacés par n'importe quel autre port convenu côté serveur
et côté client. Cette mesure n'est donc pas suffisante.

Les navigateurs offrent également la possibilité de désactiver les
modules ou plugins.

Les recommandations standards s'appliquent toujours : l'interprétation
de codes dynamiques comme Javascript doit être désactivée par défaut.

## 5.2 Sous Microsoft Windows :

-   Désactiver la prise en charge des liens rtsp:// dans Quicktime en
    décochant la case
    Préférences de Quicktime -\> Types de fichiers -\> Diffusion -\>
    Descripteur de flux RTSP ;
-   Désactiver l'association faite entre le type de fichier et
    QuickTime, en supprimant les clés de registre de la forme
    HKEY_CLASSES_ROOT/TT\>

## 5.3 Sous Apple MacOS X :

-   Désactiver la prise en charge des liens rtsp:// dans QuickTime en
    décochant la case
    Préférences de Quicktime -\> Avancé -\> Réglages MIME -\> Diffusion
    -\> Descripteur de flux RTSP ;

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Désinstaller des modules ou plugins sous Mozilla :

Site de téléchargement d'Apple QuickTime :

Note de vulnérabilité de l'US-CERT VU#659761 du 24 novembre    2007 :

Bulletin de sécurité QuickTime du 13 décembre 2007 :

Alerte CERTA-2007-ALE-001 du 04 janvier 2007 :

RFC 2326, "Real Time Streaming Protocol" :

version initiale.

ajout de la référence au bulletin de sécurité QuickTime.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été identifiée dans le logiciel multimédia Apple
QuickTime. Ce dernier ne manipule pas correctement un champ dans
l'en-tête des réponses retournées par le serveur de flux RTSP. Une
personne malveillante pourrait inciter un utilisateur à se rendre sur un
tel serveur, ce qui pourrait alors perturber son système ou permettre à
l'attaquant d'exécuter des commandes arbitraires.

Vulnérabilité dans la gestion RTSP d'Apple QuickTime

Bulletin de sécurité de l'US-CERT VU#659761 du 24 novembre 2007


## Description

Une vulnérabilité dans le logiciel multimédia Apple QuickTime permet à
une personne malintentionnée l'exécution de code arbitraire à distance
via un dépassement de mémoire tampon lors d'une tentative infructueuse
de lecture d'un fichier via le protocole Real Time Streaming Protocol
(RTSP).

Une fonctionnalité de QuickTime permet de basculer automatiquement du
protocole RTSP au protocole HTTP lorsque le port par défaut RTSP n'est
pas joignable (554/tcp et 554/udp). Une page d'erreur spécialement
conçue pour le protocole HTTP permet l'exploitation de cette
vulnérabilité. Des codes d'exploitation ont été diffusés sur l'Internet.

Cette vulnérabilité concerne les machines ayant une version QuickTime à
jour, et indépendemment du système d'exploitation installé.

## Contournement provisoire

Parmis les contournements provisoires, on note :

-   Vérifier que la prise en charge des liens RTSP est désactivée dans
    QuickTime en décochant la case Édition -\> Préférences -\>
    Préférences de QuickTime -\> Types de fichiers -\> Enchaînement -
    séquence en temps réel -\> Descripteur de flux RTSP ;

Cette option, qui n'est pas activée par défaut, ne comble en rien la
vulnérabilité mais permet de d'éviter l'ouverture de lien malveillant
par QuickTime.

-   vérifier la politique de filtrage des flux sortants. QuickTime
    essaie de se connecter au serveur sur différents ports (rtsp : 554
    puis HTTP : 80), mais la politique de filtrage peut influencer ce
    passage. Ainsi, si les flux sortants vers les ports 554/TCP et
    554/UDP sont filtrés et engendrent une absence de réponse dans un
    intervalle de temps suffisant, QuickTime n'effectue plus la
    tentative de connexion en HTTP.
-   utiliser un lecteur alternatif.

## Solution

Mise à jour du 07 février 2008 :

Apple a corrigé cette vulnérabilité dans la version 7.4.1 de QuickTime,
mentionnée dans l'avis CERTA-2008-AVI-059.

Avis du CERTA CERTA-2008-AVI-059 du 07 février 2008 :

Note de vulnérabilité de l'US-CERT VU#112179 du 10 janvier    2008 :

version initiale.

précisions concernant le filtrage.

correction apportée par Apple dans la version 7.4.1 de QuickTime.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité affectant Apple QuickTime permet à un individu
malveillant d'exécuter du code arbitraire à distance.

Vulnérabilité dans Apple QuickTime


Toutes les versions de Joomla! de  la branche 1.0 depuis la version 1.0.11.

## Description

Un mécanisme dans Joomla!, appelé RG_EMULATION, permet de contourner le
paramétrage de la variable register_globals dans le fichier de
configuration de PHP. Lorsque la variable RG_EMULATION est positionnée à
1 dans le fichier configuration.php (à la racine de Joomla!), il est
possible d'exécuter du code arbitraire à distance sur le serveur.

Dans les versions de Joomla! antérieures à 1.0.11, la variable
RG_EMULATION était définie dans le fichier globals.php. Une évolution de
Joomla! d'une version antérieure à 1.0.11 vers la version 1.0.11 ou
supérieure entraîne la suppression de la définition de la variable
RG_EMULATION. Lorsque la variable RG_EMULATION n'est pas du tout définie
dans le fichier configuration.php, celle-ci est positionnée par défaut à
1, ce qui permet l'exécution de code arbitraire à distance.

## Contournement provisoire

Il existe plusieurs contournements provisoires :

-   dans le fichier configuration.php, vérifier que la variable
    RG_EMULATION est positionnée à 0. Si elle n'est pas définie, ajouter
    la ligne :

    `$RG_EMULATION = '0';`

-   changer le comportement par défaut de Joomla! lorsque la variable
    RG_EMULATION n'est pas définie, en remplaçant 1 par 0 dans la ligne
    27 du fichier globals.php ;

-   migrer vers la branche 1.5 de Joomla! ou utiliser un autre
    gestionnaire de contenu.

## Solution

Mettre à jour en version 1.0.15.

Site de Joomla! :

version initiale.

ajout des sections Solution et Documentation.

Exécution de code arbitraire à distance

Contournement de la politique de sécurité

Summary:
Une vulnérabilité dans Joomla! permet
d'exécuter du code arbitraire à distance.

Vulnérabilité dans Joomla!

CERTA


Microsoft Office Excel dans les versions suivantes :

2000 ;

2002 ;

2003 SP2 ;

2004 pour Mac.

Microsoft Office Excel Viewer 2003.

## Description

Une vulnérabilité, non publique mais confirmée par l'éditeur, est
présente dans plusieurs versions du tableur Excel. L'exploitation de
cette vulnérabilité, au travers d'un document spécialement conçu, permet
l'exécution de code arbitraire. Le code est exécuté avec les droits de
l'utilisateur qui ouvre le document malveillant. L'utilisateur
malveillant doit inciter l'utilisateur du logiciel vulnérable à ouvrir
un document malveillant.

Cette vulnérabilité serait exploitée, à la date de rédaction de cette
alerte.

Les versions suivantes d'Excel ne seraient pas vulnérables :

-   2003 SP3 ;
-   2007 ;
-   2008 pour Mac.

Cette vulnérabilité est corrigée et mentionnée dans le bulletin
Microsoft MS08-014 publié le 11 mars 2008. Ce dernier est détaillé dans
l'avis CERTA-2008-AVI-125.

## Contournement provisoire

Dans l'attente d'un correctif, plusieurs mesures permettent de réduire
l'impact de l'exploitation de cette vulnérabilité :

-   utiliser une version non vulnérable ou un logiciel alternatif
    (visualisateur, tableur ou suite bureautique) ;
-   n'ouvrir que des documents de confiance ;
-   être circonspect à l'égard des pièces jointes de courriels et des
    documents téléchargés ;
-   travailler avec un compte aux droits restreints (principe du moindre
    privilège).

## Solution

Se référer au bulletin de sécurité MS08-014 de Microsoft pour
l'obtention des correctifs (cf. section Documentation).

Bulletin de sécurité Microsoft 947563 du 15 janvier 2008 :

Avis CERTA-2008-AVI-125 du 12 mars 2008 :

version initiale.

ajout des références au bulletin MS08-14 et à l'avis correspondant.

Exécution de code arbitraire

Summary:
Une vulnérabilité dans plusieurs versions du tableur Excel permet une
exécution de code arbitraire.

Vulnérabilité dans Excel

Bulletin Microsoft 947563 du 15 janvier 2008


VMware Workstation versions 6.0.2 et antérieures ;

VMware Player versions 1.0.4 et antérieures ;

VMware Player versions 2.0.2 et antérieures ;

VMware Workstation versions 5.5.4 et antérieures ;

VMware ACE versions 2.0.2 et antérieures ;

VMware ACE versions 1.0.2 et antérieures.

## Description

La fonctionnalité de répertoires partagés (shared folders) dans VMware
permet l'échange de fichiers entre une machine virtuelle et l'hôte.

Une vulnérabilité dans l'étanchéité de cette fonctionnalité permet à une
personne malveillante de contourner la politique de sécurité.
L'exploitation de cette vulnérabilité permet de créer et de modifier des
fichiers dans l'arborescence de l'hôte.

## Contournement provisoire

L'éditeur recommande de désactiver la fonctionnalité répertoires
partagés (shared folders) dans l'attente d'un correctif.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité VMware VMSA-2008-0005 du 17 mars 2008    :

Avis de sécurité CERTA-2008-AVI-141 :

version initiale.

Ajout de la référence au bulletin de sécurité de léditeur et à l'avis CERTA associé.

Summary:
Une vulnérabilité dans VMware installé sur Windows permet de contourner
la politique de sécurité.

Vulnérabilité dans VMware

Bulletin d'alerte VMware 1004034


Les versions suivantes de Microsoft Word sont affectées :

Word 2000 Service Pack 3 ;

Word 2002 Service Pack 3 ;

Word 2003 Service Pack 2 ;

Word 2003 Service Pack 3 ;

Word 2007 ;

Word 2007 Service Pack 1.

Seuls les systèmes d'exploitation Microsoft Windows 2000  Service Pack 4, Windows XP Service Pack 2, et Windows Server 2003  Service Pack 1 sont concernés. Les versions de Microsoft Jet Database Engine affectées sont  antérieures à 4.0.9505.0 (<TT>Msjet40.dll</TT>).

## Description

Une vulnérabilité de type débordement de mémoire affecte Microsoft Jet
Database Engine. Elle permet à une personne malintentionnée d'exécuter
du code arbitraire à distance avec les droits de l'utilisateur. Cette
faille semble être ancienne, toutefois elle n'a pas été corrigée par
Microsoft car l'éditeur ne considère pas le format mdb (Microsoft
Access) comme un format sûr (comme les fichiers exe, bat, cmd par
exemple). Ainsi, ce type de fichier est par exemple automatiquement
bloqué dans Microsoft Outlook (voir KB#925330).

Cependant, il a récemment été montré que la vulnérabilité de Msjet40.dll
dont fait l'objet cet avis peut toutefois être exploitée via l'ouverture
d'un fichier au format doc, qui appelle à son tour un fichier mdb
spécifiquement construit.

Plusieurs cas d'exploitations ont d'ores et déjà été signalés à
Microsoft.

Mise à jour du 14 mai 2008 :

Cette vulnérabilité est corrigée et mentionnée dans le bulletin
Microsoft MS08-044 publié le 13 mai 2008. Ce dernier est détaillé dans
l'avis CERTA-2008-AVI-244.

## Contournement provisoire

Dans l'attente d'un correctif, plusieurs mesures permettent de réduire
l'impact de l'exploitation de cette vulnérabilité :

-   utiliser un compte aux droits restreints ;
-   utiliser un logiciel de traitement de texte alternatif ;
-   n'ouvrir que des documents de confiance ;
-   être circonspect à l'égard des pièces jointes de courriels.

Il est également possible de désactiver le Microsoft Jet Database Engine
en exécutant la commande suivante :

`echo y| cacls "%SystemRoot%\system32\msjet40.dll" /E /P  everyone:N`

Ceci a pour effet de restreindre l'accès au fichier msjet40.dll à tous
les utilisateurs. Les applications faisant appel à Microsoft Jet
Database Engine risquent de ne plus fonctionner.

Pour restaurer un accès normal à ce fichier, exécuter :

`echo y| cacls "%SystemRoot%\system32\msjet40.dll" /E /R  everyone`

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité de l'US-CERT VU#936529

Document du CERTA CERTA-2008-AVI-244 du 14 mai 2008 :

Bulletin de sécurité Microsoft MS08-028 du 13 mai 2008 :

Référence CVE CVE-2008-1092 :

Article décrivant les fichiers non sûrs :

Entrée du 24 mars 2008 dans le bloc-notes du MSRC :

version initiale.

correction d'un lien, ajout d'un contournement provisoire et de la référence au bulletin de l'US CERT.

publication du correctif par l'éditeur.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Microsoft Jet
Database Engine permet à une personne malintentionnée d'exécuter du code
arbitraire à distance.

Vulnérabilité dans Microsoft Jet Database Engine

Bulletin de sécurité Microsoft #950627 du 21 mars 2008


HP OpenView Network Node Manager,  version 7.x.
D'autres versions peuvent être affectées.

## Description

Plusieurs vulnérabilités sont présentes dans HP OpenView Network Node
Manager :

-   une vulnérabilité (CVE-2008-0068) provient d'un filtrage insuffisant
    d'un paramètre de CGI. Son exploitation permet à un utilisateur
    malveillant de contourner la politique de sécurité ;
-   une vulnérabilité (CVE-2008-1697) concerne l'utilisation d'un
    paramètre de longueur élevée dans une requête HTTP. Cette
    exploitation permet à un utilisateur malveillant d'exécuter du code
    arbitraire à distance ;
-   une vulnérabilité (CVE-2008-1842) est présente dans le traitement de
    certaines requêtes vers le port TCP 8886. Son exploitation permet à
    un utilisateur malveillant de provoquer un déni de service à
    distance ou d'exécuter du code arbitraire à distance ;
-   une vulnérabilité (CVE-2008-1851) provient de l'attente sans limite
    de temps lorsqu'une requête, adressée au port TCP 2954, est
    incomplète. Cette vulnérabilité peut servir à réaliser un déni de
    service ;
-   une vulnérabilité (CVE-2008-1852) provient d'un problème
    d'allocation mémoire, provoqué par la déclaration d'un nombre trop
    important de paramètres dans une requête adressée au port TCP 2954.
    L'exploitation de la vulnérabilité provoque une arrêt inopiné du
    programme ;
-   une vulnérabilité (CVE-2008-1853) permet l'arrêt du service par
    l'envoi d'un paquet d'une certaine forme sur le port TCP 2532.
    L'utilisateur malveillant peut provoquer un déni de service à
    distance.

Des codes exploitant ces vulnérabilités sont disponibles sur l'Internet.

## Contournement provisoire

Dans l'attente d'un correctif, des mesures permettent de limiter la
capacité d'exploitation de ces vulnérabilités ou de détecter une telle
exploitation :

-   n'autoriser l'accès au serveur qu'aux utilisateurs en ayant besoin ;
-   filtrer les accès depuis les réseaux vers le serveur HP OpenView
    Network Node Manager;
-   bloquer les flux depuis l'Internet vers le serveur sur les ports TCP
    80, 2532, 2954 et 8886 ou vérifier que ce blocage est effectif s'il
    est déjà prévu dans la politique de sécurité ;
-   surveiller attentivement les journaux des filtres et des serveurs,
    en particulier l'activité liée à ces ports et l'activité depuis le
    serveur HP OpenView Network Node Manager.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité HP c01496048 du 11 mai 2009 :

Bulletin de sécurité HP c01471755 du 10 juin 2008 :

Bulletin de sécurité HP c01495949 du 11 mai 2009 :

Site de téléchargement desz correctifs HP :

version initiale.

ajout des correctifs et des bulletins HP.

Exécution de code arbitraire à distance

Déni de service à distance

Summary:
Plusieurs vulnérabilités dans HP OpenView Network Node Manager
permettent à un utilisateur malveillant de provoquer un déni de service
à distance, d'exécuter du code arbitraire à distance ou de contourner la
politique de sécurité. Les vulnérabilités ont été corrigées en 2008 et
2009.

Vulnérabilités dans HP OpenView NNM

CVE-2008-0068, 1697, 1842, 1851, 1852 et 1853


Apple iCal 3.01, 3.02 sur MacOSX 10.5 à 10.5.2 (x86 et  PowerPC).

D'autres versions pourraient être vulnérables.

## Description

iCal est une application de calendrier disponible par défaut sur MacOSX.
Ce logiciel utilise notamment des fichiers portant l'extension .ics et
un protocole nommé CalDAV pour le partage d'événements.

Trois vulnérabilités concernant iCal ont récemment été publiées. Deux de
ces vulnérabilités sont dues à une mauvaise validation de certains
entiers. Une personne malintentionnée peut ainsi réaliser un déni de
service en incitant un utilisateur à importer un fichier .ics
spécialement conçu (CVE-2008-2006) et à effectuer certaines actions
spécifiques (double-click sur un événement, par exemple).

La troisième vulnérabilité est également due à une mauvaise validation
du format d'un fichier .ics et permettrait à une personne
malintentionnée d'exécuter du code arbitraire en incitant un utilisateur
à importer un fichier .ics spécialement conçu et à effectuer certaines
actions (CVE-2008-2007).

Pour information, les fichiers .ics peuvent être importés
automatiquement depuis des serveurs CalDAV.

Des preuves de faisabilité ont été diffusées sur l'internet.

Apple a corrigé ces vulnérabilités dans sa mise à jour de sécurité
2008-003 publiée le 28 mai 2008 et détaillée dans l'avis
CERTA-2008-AVI-278.

## Contournement provisoire

Le CERTA préconise les recommandations suivantes :

-   n'importer que des fichiers .ics provenant de personnes de confiance
    ;
-   ne s'inscrire que sur des serveurs CalDAV de confiance ;
-   entrer les événements manuellement ;
-   dans l'attente d'un correctif, utiliser une application de
    calendrier alternative.

## Solution

Le CERTA recommande d'appliquer les correctifs 2008-003 d'Apple publiés
le 28 mai 2008 et détaillés dans l'avis CERTA-2008-AVI-278.

Bulletin du NIST CVE-2008-2007 du 22 mai 2008 :

Avis CERTA-2008-AVI-278 du 28 mai 2008 :

Bulletin du NIST CVE-2008-2006 du 22 mai 2008 :

version initiale.

ajout de la référence aux correctifs publiés par Apple et décrits dans CERTA-2008-AVI-278.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Trois vulnérabilités sur Apple iCal
permettent à une personne malintentionnée distante de réaliser un déni
de service ou potentiellement exécuter du code arbitraire.

Multiples vulnérabilités dans Apple iCal

Bulletin de sécurité Core Security CORE-2008-0126


Safari pour Windows version 3.1.1 et versions antérieures ;

Safari pour MacOS version 3.1.1 et versions antérieures.

## Description

Une vulnérabilité a été découverte dans la navigateur Safari d'Apple.
Cette vulnérabilité permet via un site spécialement construit de forcer
le téléchargement d'un fichier quelconque sur l'ordinateur de la
victime. Ce fichier est téléchargé directement dans le répertoire de
téléchargement défini dans les propriétés du navigateur (le Bureau par
défaut).

Comme indiqué dans le bulletin d'actualité CERTA-2008-ACT-023, cette
vulnérabilité peut également permettre l'exécution de code arbitraire
sous Microsoft Windows. En effet, une « fonctionnalité » de Internet
Explorer est de charger sous certaines conditions des bibliothèques de
fonctions (DLL) depuis le bureau. Le téléchargement d'un tel fichier
sous Safari suivi de l'exécution de Internet Explorer permet ainsi à une
personne malveillante d'exécuter du code arbitraire à distance.

## Contournement provisoire

Il est préférable généralement de modifier la configuration par défaut
des navigateurs, y compris pour Safari :

-   changer le répertoire de téléchargement (le Bureau par défaut);
-   décocher l'option Ouvrir automatiquement les fichiers fiables dans
    les préférences générales ;
-   décocher préventivement l'activation de modules externes, ainsi que
    l'interprétation de Java et de Javascript.

Une autre pratique consiste à filter via un serveur mandataire les
champs « Content-Type » et les restreindre à ceux jugés légitimes.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin d'actualité CERTA-2008-ACT-023 :

Bulletin de sécurité Microsoft 953818 du 30 mai 2008 :

Bloc-notes de Microsoft du 30 mai 2008 :

Publication préliminaire sur un bloc-notes Technet    Microsoft de R. Hensing le 22 mai 2008 :

Avis du CERTA CERTA-2008-AVI-331 :

version initiale ;

ajout du risque lié à l'utilisation de Internet Explorer couplé à Safari.

correction de l'alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été découverte dans la navigateur Safari. Cette
vulnérabilité permet un contournement de la politique de sécurité et
l'exécution de code arbitraire à distance sous Windows.

Vulnérabilité du navigateur Safari

Bulletin de sécurité Apple HT2092 du 19 juin 2008

Bulletin de sécurité Secunia SA30467 du 02 juin 2008


Microsoft Office Access 2003.

Microsoft Office Access XP ;

Microsoft Office Access 2000 ;

Snapshot Viewer for Microsoft Access ;

## Description

Une vulnérabilité a été identifiée dans le contrôle ActiveX snapview.ocx
de Snapshot Viewer for Microsoft Access. Celle-ci peut être exploitée
par une personne malintentionnée qui peut ainsi télécharger des fichiers
dans des répertoires arbitraires d'une machine vulnérable, en incitant
la victime à visiter une page web spécialement conçue.

Le contrôle ActiveX est signé par Microsoft et installé par défaut avec
les versions 2000, XP, et 2003 de Microsoft Office Access.

La vulnérabilité est actuellement exploitée.

## Contournement provisoire

Le contrôle ActiveX vulnérable peut être désactivé dans la base de
registre :

Exécuter regedit.exe, puis accéder à la clé suivante :
`HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet  Explorer\ActiveX Compatibility\`
`{F0E42D50-368C-11D0-AD81-00A0C90DC8D9}` et mettre la valeur «
Compatibility Flags » à 00000400.

Faire de même pour les CLSID suivants :
`{F0E42D60-368C-11D0-AD81-00A0C90DC8D9}`
`{F2175210-368C-11D0-AD81-00A0C90DC8D9}`

Le CERTA recommande également les actions suivantes :

-   utiliser un navigateur alternatif tel que Mozilla Firefox, Opera,
    Safari, Kmeleon, etc.;
-   mettre à jour vers Internet Explorer 7, cocher le choix « Demander »
    dans l'option « Exécuter les contrôles ActiveX et les plugins », ou
    désactiver l'exécution des contrôles ActiveX ;
-   naviguer en utilisant un compte d'utilisateur aux droits limités ;
-   naviguer sur des sites de confiance.

## Solution

Se référer au bulletin de sécurité MS08-041 de Microsoft pour
l'obtention des correctifs (cf. section Documentation). Ce dernier est
présenté dans l'avis CERTA-2008-AVI-413.

Note de vulnérabilité de l'US-CERT VU#837785 du 07 juillet    2008 :

Avis du CERTA CERTA-2008-AVI-413 du 13 août 2008 :

Bulletin de sécurité Microsoft 955179 du 07 juillet 2008 :

version initiale.

publication du correctif par Microsoft.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans le contrôle ActiveX
du Snapshot Viewer for Microsoft Access
permet à une personne malintentionnée d'exécuter du code arbitraire à
distance.

Vulnérabilité dans Microsoft Access Snapshot Viewer

Bulletin Microsoft 955179 du 07 juillet 2008


Microsoft Office Word 2002 Service Pack 3.

## Description

Une vulnérabilité a été identifiée dans Microsoft Word 2002. Une
personne malintentionnée peut exécuter du code arbitraire à distance en
incitant une victime à ouvrir un document Word spécialement conçu.

Selon Microsoft, la vulnérabilité est actuellement exploitée.

## Contournement provisoire

Les mesures suivantes sont recommandées :

-   utiliser une version plus récente de Microsoft Word ;
-   utiliser Word Viewer 2003 SP3 pour visionner et imprimer des
    fichiers Word ;
-   utiliser un logiciel alternatif tel que OpenOffice.org ;
-   n'ouvrir que des documents provenant de sources de confiance ;
-   utiliser un compte aux droits restreints.

## Solution

Se référer au bulletin de sécurité MS08-042 de Microsoft pour
l'obtention des correctifs (cf. section Documentation).

Ce dernier est détaillé dans l'avis CERTA-2008-AVI-403.

Avis du CERTA CERTA-2008-AVI-403 du 13 août 2008 :

version initiale.

publication du correctif par Microsoft.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Microsoft Word 2002 permet à une personne
malintentionnée d'exécuter du code arbitraire à distance.

Vulnérabilité dans Microsoft Word

Bulletin de sécurité Microsoft 953635 du 08 juillet 2008


Oracle BEA  WebLogic Server, versions 5.x à 10.x.

## Description

Une vulnérabilité existe dans le connecteur Apache du serveur Oracle BEA
WebLogic Server. Certaines requêtes excessivement longues, de type POST,
peuvent provoquer un débordement de pile. Ce débordement est exploitable
pour réaliser un déni de service à distance et, dans certaines
conditions, exécuter des commandes sur le serveur vulnérable.

Une preuve de faisabilité est disponible sur l'Internet.

Oracle a publié un correctif le 08 août 2008, détaillé dans l'avis du
CERTA CERTA-2008-AVI-394.

## Contournement provisoire

Dans l'attente d'un correctif de l'éditeur, le CERTA recommande :

-   de restreindre à l'indispensable l'accès au serveur ;
-   de filtrer en amont les requêtes POST en les limitant à une longueur
    compatible avec l'utilisation du serveur ;
-   de journaliser et de surveiller les requêtes adressées au serveur.

## Solution

Oracle a publié un correctif le 08 août 2008, détaillé dans l'avis du
CERTA CERTA-2008-AVI-394.

AVis du CERTA CERTA-2008-AVI-394 du 08 août 2008 :

Bulletin de sécurité Oracle du 28 juillet 2008 :

version initiale.

ajout de la référence Oracle et du CVE.

publication du correctif.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité de Oracle BEA WebLogic
Server permet à un utilisateur malveillant de réaliser un déni de
service à distance et d'exécuter du code arbitraire à distance.

Vulnérabilité dans Oracle BEA WebLogic Server

Alerte de Secunia numéro 31146 du 21 juillet 2008


Microsoft Windows Server 2008 32-bit, x64 et système Itanium.

Microsoft Windows Server 2003 x64 Edition et x64 Edition Service Pack 2 ;

Microsoft Windows Vista x64 Edition et Service Pack 1 ;

Microsoft Windows Vista et Service Pack 1 ;

Microsoft Windows XP Service Pack 2 et Service Pack 3 ;

Microsoft Windows Server 2003 Service Pack 1 et Service Pack 2 ;

Microsoft Windows Server 2003 Service Pack 1 et Service Pack 2 pour système Itanium ;

## Description

Une vulnérabilité dans Microsoft Windows permet à un utilisateur
malveillant, authentifié sur le système avec le compte NetworkService ou
LocalService, d'élever ses privilèges au moyen d'un code exécutable
malveillant.

Le service Internet Information Services (IIS) ou encore SQL Server
permettent à un utilisateur d'accéder au système avec les comptes lui
permettant d'exploiter la vulnérabilité décrite. Cependant, Microsoft
annonce que tout service bénéficiant des privilèges
SeImpersonatePrivilege peut être vulnérable et être utilisé par un
individu malintentionné pour élever ses privilèges sur le système.

Cette vulnérabilité implique que l'utilisateur malveillant puisse
télécharger et exécuter sur le serveur vulnérable un fichier exécutable
malveillant.

Le savoir-faire nécessaire pour exploiter cette vulnérabilité est
disponible sur l'Internet et peut être modifié par un utilisateur
malveillant afin d'élever ses privilèges au travers d'autres services
qu'Internet Information Services ou SQL Server.

## Contournement provisoire

Microsoft propose trois contournements provisoires pour le service
Internet Information Service version 6.0 et 7.0 à l'adresse suivante :

    http://www.microsoft.com/technet/security/advisory/951306.mspx

Le CERTA recommande les actions suivantes :

-   interdire l'exécution de programme tiers par les services
    vulnérables accessibles depuis une zone non-sûre ;
-   interdire le téléchargement de fichiers distants sur le serveur ;
-   vérifier le contenu des fichiers téléchargés sur le serveur ;
-   autoriser l'accès au serveur uniquement aux utilisateurs de
    confiance.

## Solution

Se référer au bulletin de sécurité MS09-012 de Microsoft pour
l'obtention des correctifs (cf. section Documentation). Ce dernier est
présenté dans l'avis CERTA-2009-AVI-142 du 15 avril 2009.

Avis du CERTA CERTA-2009-AVI-142 du 15 avril 2009 :

Bloc-note de Microsoft Security Response Center du 09    octobre 2008 :

Bulletin de sécurité Microsoft MS09-012 du 14 avril 2009 :

Bulletin de sécurité Microsoft #951306 du 17 avril 2008 :

Référence CVE CVE-2008-1436 :

version initiale.

ajout des références au bulletin de sécurité Microsoft MS09-012.

Élévation de privilèges

Summary:
Une vulnérabilité dans Microsoft Windows permet à un utilisateur
malintentionné d'élever ses privilèges à ceux de LocalSystem.

Vulnérabilité dans Microsoft Windows


Sun Solaris 9 pour architecture x86.

Sun Solaris 9 pour architecture SPARC ;

Sun Solaris 8 pour architecture SPARC ;

Sun Solaris 8 pour architecture x86 ;

## Description

Le service sadmind sur Sun Solaris permet l'administration de systèmes à
distance via la suite d'outils Solstice AdminSuite.

Ce service est activé par défaut sous Solaris et est mis en œuvre par le
biais du « super-service » inetd fonctionnant avec les privilèges de
l'administrateur root.

Une erreur de type débordement de mémoire présente dans sadmind permet à
un utilisateur malintentionné distant d'exécuter du code arbitraire sur
le système vulnérable.

## Contournement provisoire

Dans la mesure où l'exécution du service sadmind est contrôlée par le «
super-service » inetd, il est possible de le désactiver en mettant en
commentaire la ligne suivante dans le fichier /etc/inetd.conf :

100232 tli rpc/udp wait root /usr/sbin/sadmind.

Une fois cette ligne commentée, il faudra également demander au service
inetd de relire sa configuration en tapant la commande :

pkill -HUP inetd

Si, toutefois, ce service devait être utilisé et ne pouvait être
désactivé, il conviendrait d'en limiter l'accès aux seules machines de
confiance nécessaires à l'administration.

## Solution

Correctifs adressant cette vulnérabilité :

-   Sun Solaris 8 avec le correctif 116455-02 pour SPARC
-   Sun Solaris 9 avec le correctif 116453-03 pour SPARC
-   Sun Solaris 8 avec le correctif 116442-02 pour x86
-   Sun Solaris 9 avec le correctif 116454-03 pour x86

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Annonce Bugtraq BUGTRAQ:20081014 [RISE-2008001] du 14    octobre 2008 :

Alerte de sécurité Oracle Sun 245806 du 21 mai 2009 :

version initiale.

ajout correctif et fermeture alerte.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans le service sadmind de
Sun Solaris permet à un utilisateur distant d'exécuter du code
arbitraire.

Vulnérabilité du service sadmind de Sun Solaris


Opera version 9.62 pour Windows.

## Description

Une vulnérabilité présente dans la gestion des références à des adresses
(URI) de type « file:// », particulièrement longues, permet à un
utilisateur malveillant d'exécuter du code arbitraire, à la suite d'un
débordement de mémoire, par le biais d'un fichier au format HTML
spécialement construit.

L'exploitation de cette vulnérabilité nécessite que le fichier
malveillant au format HTML soit présent localement sur la machine. Le
savoir faire nécessaire à l'exploitation de cette vulnérabilité circule
sur l'Internet.

## Contournement provisoire

Dans l'attente d'un correctif de la part de l'éditeur, plusieurs
alternatives existent :

-   restreindre l'ouverture de fichier locaux uniquement à ceux de
    confiance ;
-   utiliser un navigateur alternatif, notament pour l'ouverture de
    fichiers locaux ;
-   changer de navigateur pour l'ouverture par défaut de fichiers au
    format HTML.

## Solution

Se référer au changement de version 9.63 d'Opera pour l'obtention des
correctifs (cf. section Documentation).

Article 924 de la base de connaissance pour Opera :

Article 923 de la base de connaissance pour Opera :

Article 920 de la base de connaissance pour Opera :

Notes de changement de version 9.63 d'Opera pour    Windows :

Article 921 de la base de connaissance pour Opera :

Article 922 de la base de connaissance pour Opera :

version initiale.

ajout de la référence à la version 9.63 d'Opera.

Exécution de code arbitraire

Summary:
Une vulnérabilité présente dans Opera permet
à une personne malveillante d'exécuter du code arbitaire.

Vulnérabilité dans Opera

Bulletin de sécurité Secunia 32752 du 18 novembre 2008


WordPad Text Converter sur Windows XP Service Pack 2 ;

WordPad Text Converter sur Windows 2003 Service Pack 2.

WordPad Text Converter sur Windows 2003 Service Pack 1 ;

WordPad Text Converter sur Windows 2000 Service Pack 4 ;

## Description

Une vulnérabilité dans WordPad Text Converter permet à une personne
malintentionnée distante d'exécuter du code arbitraire en incitant une
personne à ouvrir un fichier Word 97 spécialement conçu. L'utilisation
de WordPad peut être forcée même si Microsoft Office Word est installé,
au moyen, par exemple, d'un fichier d'extension .wri.

L'éditeur affirme que cette vulnérabilité est actuellement exploitée.

Cette vulnérabilité n'affecte pas les utilisateurs de Windows XP Service
Pack 3, Windows Vista, et Windows 2008.

## Contournement provisoire

Les utilisateurs de Windows XP Service Pack 2 doivent mettre à jour leur
système en Service Pack 3.

Il est possible de désactiver le convertisseur de texte de WordPad avec
la commande suivante en ligne de commande :

    echo y| cacls "%ProgramFiles%\Windows NT\Accessories\mswrd8.wpc" /E /P everyone:N

Pour réactiver le convertisseur de texte, changer le propriétaire du
fichier mswrd8.wpc à « Administrateurs » (cf. bulletin de sécurité
Microsoft) et taper la commande suivante :

    echo y| cacls "%ProgramFiles%\Windows NT\Accessories\mswrd8.wpc" /E /R everyone

Les administrateurs peuvent également filtrer les fichiers de type .wri
pour empêcher l'utilisation automatique de WordPad.

Enfin, le CERTA rappelle quelques bonnes pratiques :

-   utiliser un compte utilisateur aux droits restreints ;
-   n'ouvrir que des documents provenant de sources de confiance ;

## Solution

Se référer au bulletin de sécurité MS09-010 de Microsoft pour
l'obtention des correctifs (cf. section Documentation). Le CERTA a
publié l'avis CERTA-2009-AVI-140 à ce sujet.

Avis du CERTA CERTA-2009-AVI-140 du 15 avril 2009 :

Bulletin de sécurité Microsoft MS09-010 du 14 avril 2009 :

Bulletin de sécurité Microsoft 960906 du 09 décembre 2008 :

version initiale.

ajout des références au bulletin de sécurité Microsoft MS09-010.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans WordPad Text
Converter permet à une personne malintentionnée d'exécuter du
code arbitraire à distance.

Vulnérabilité dans le convertisseur de texte de WordPad

Bulletin de sécurité Microsoft #960906 du 09 décembre 2008


Microsoft Internet Explorer 5.01 Service Pack 4 ;

Microsoft Internet Explorer 7.

Microsoft Internet Explorer 6 Service Pack 1 ;

Microsoft Internet Explorer 6 ;

## Description

Une vulnérabilité de type corruption de mémoire a été identifiée dans
une fonction de la bibliothèque mshtml.dll utilisée par Microsoft
Internet Explorer. La faille permet à une personne malintentionnée
d'exécuter du code arbitraire sur le poste vulnérable d'un utilisateur
en l'incitant à visiter une page Web spécialement conçue.

Du code d'exploitation est disponible sur l'Internet.

## Contournement provisoire

Le CERTA recommande les mesures suivantes :

-   désactiver le Javascript par défaut et ne le réactiver qu'au cas par
    cas sur des sites de confiance ;
-   utiliser un navigateur alternatif.

Le CERTA rappelle également qu'il est fortement conseillé de naviguer
avec un compte utilisateur aux droits restreints.

D'autres contournements ont été émis par l'éditeur, notamment :

-   la désactivation de la fonctionnalité XML Island ;
-   la désinscription de OLEDB32.DLL ;
-   la modification des ACL (Access Control List) de OLEDB32.DLL ;
-   la modification des ACL d'intégrité de OLEDB32.DLL (sur Windows
    Vista) ;
-   la désactivation de la fonctionnalité Row Position de OLEDB32.DLL.

Certains contournements ont plus d'effets de bord que d'autres
(notamment, la désinscription ou la modification des ACL de
OLEDB32.DLL). Se référer au bulletin de sécurité de Microsoft pour plus
de détails.

Enfin, l'activation du DEP (Data Execution Prevention) peut rendre
l'exploitation plus difficile.

## Solution

Microsoft a émis une mise à jour hors du cycle mensuel pour corriger
cette vulnérabilité. Se référer à l'avis CERTA-2008-AVI-604 pour
l'obtention des correctifs.

Avis CERTA-2008-AVI-604 :

Bulletin de sécurité Microsoft 961051 du 10 décembre 2008 :

version initiale.

mise à jour du contournement et ajout de références.

mise à jour des produits affectés et du contournement provisoire.

mise à jour du contournement provisoire.

ajout de la section solution.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans Microsoft Internet
Explorer permet à une personne malintentionnée d'exécuter du code
arbitraire à distance.

Vulnérabilité dans Microsoft Internet Explorer


Microsoft SQL Server 2000 ;

Microsoft SQL Server 2005 ;

Microsoft SQL Server 2005 Express Edition ;

Microsoft SQL Server 2000 Desktop Engine (MSDE 2000 et    WMSDE) ;

Windows Internal Database (WYukon).

Les systèmes Microsoft SQL Server 7.0 SP 4, Microsoft SQL  Server 2005 SP3 et Microsoft SQL Server 2008 ne seraient pas  affectés.

## Description

Une vulnérabilité de type débordement de mémoire dans la procédure
stockée étendue sp_replwritetovarbin() de Microsoft SQL Server permet à
une personne malintentionnée d'exécuter du code arbitraire.

Associée à une vulnérabilité de type injection de code SQL, cette
vulnérabilité permet une exécution de code à distance.

## Contournement provisoire

Il est recommandé de supprimer la procédure stockée étendue vulnérable
ou d'en changer les droits d'exécution (cf. section Documentation).

Ceci peut entrainer des dysfonctionnements dans d'autres applications.

Les bonnes pratiques en matière de développement Web, notamment pour se
protéger des injections SQL peuvent limiter les possibilités
d'exploitation de cette vulnérabilité.

## Solution

Se référer au bulletin de sécurité Microsoft MS09-004 pour l'obtention
des correctifs (cf. section Documentation).

Avis de sécurité Microsoft 961040 du 22 décembre    2008 :

Bulletin de sécurité Microsoft MS09-004 du 10 février 2009    :

Avis CERTA-2009-AVI-061 :

Désactivation de procédures stockées étendues :

Bloc-notes SVRD, "More information about the SQL stored    procedure vulnerability", 22 décembre 2008 :

Référence CVE CVE-5416:

Bloc-notes MSRC, "Microsoft Security Advisory 961040" du 22    décembre 2008 :

version initiale.

ajout de la référence CVE, des liens Microsoft et mise à jour des versions vulnérables.

ajout de la section solution et modification du CVE

Exécution de code arbitraire

Summary:
Une vulnérabilité dans Microsoft SQL Server
permet à une personne malintentionnée d'exécuter du code arbitraire.

Vulnérabilité dans Microsoft SQL Server


Adobe Acrobat Standard, Pro et Pro Extended, versions 9.x, 8.x et 7.x.

Adobe Reader versions 9.x, 8.x et 7.x ;

## Description

Une erreur dans les produits Adobe relative à l'interprétation des
objets encodés au format JBIG2 dans des fichiers PDF permet à un
utilisateur de provoquer inopinément l'arrêt du logiciel (crash).

Elle permet également l'exécution de code arbitraire sur le système
vulnérable avec les droits de l'utilisateur.

L'exploitation de la vulnérabilité ne nécessite pas nécessairement :

-   l'intervention de l'utilisateur ;
-   l'activation ou la désactivation du support Adobe JavaScript.

Certains codes d'exploitation circulant actuellement sur l'Internet sont
reconnus par des antivirus sous divers noms : Trojan.Pidief.E,
Bloodhound.PDF-6 (Symantec), Exploit-PDF.i (NAI, Mac Afee)...

L'application Adobe installe une extension permettant à l'explorateur de
fichiers de Microsoft Windows de réaliser un aperçu des fichiers au
format PDF. De ce fait, la vulnérabilité peut également être exploitée
par les méthodes suivantes :

-   lors de la sélection d'un fichier PDF exploitant cette vulnérabilité
    ;
-   lors de l'exploration d'un répertoire avec un affichage en mode
    miniature des icônes.

De plus, il semblerait que cette vulnérabilité puisse être exploitée
lors de l'affichage de l'infobulle lié à un fichier PDF malveillant dont
les méta-données ont été spécialement construites.

Enfin, l'utilisation de services d'indexation automatique (comme WIS,
Windows Indexing Services) pourrait déclencher l'exploitation de la
vulnérabilité sur un fichier présent sur l'espace de stockage sans
intervention particulière de l'utilisateur.

## Contournement provisoire

L'éditeur Adobe annonce qu'un correctif pour la version 9.x sera
disponible le 11 mars 2009.

\[11 mars 2009\] : L'éditeur a mis à
disposition un correctif de sécurité pour les versions 9 de Adobe Reader
et Acrobat. Se référer au bulletin de sécurité Adobe apsb09-03 du 10
mars 2009 pour l'obtention des correctifs (cf. section Documentation).

\[20 mars 2009\] : L'éditeur a mis à
disposition un correctif de sécurité pour les versions 8 et 7 de Adobe
Reader et Acrobat. Se référer au bulletin de sécurité Adobe apsb09-04 du
18 mars 2009 pour l'obtention des correctifs (cf. section
Documentation).

Dans l'attente d'un correctif de l'éditeur, plusieurs mesures peuvent
diminuer les risques :

-   utiliser un lecteur alternatif à jour. Certains peuvent fermer
    inopinément à l'ouverture d'un document PDF malveillant mais
    l'exploitation de la vulnérabilité pour exécuter du code arbitraire
    n'est pas, à la date de rédaction de ce bulletin, avérée ;

-   pour gêner certains codes d'exploitation, désactiver le Javascript
    dans les lecteur PDF Adobe et ne l'activer qu'en cas de stricte
    nécessité. Cette mesure s'effectue directement dans l'interface de
    configuration de l'application ou en mettant à 0, pour les systèmes
    Windows uniquement, la valeur de la variable bEnableJS qui se
    trouve :

        pour Adobe Reader dans :
                HCU\Software\Adobe\Acrobat Reader\<version>.0\JSPrefs
        pour Adobe Acrobat dans :
                HCU\Software\Adobe\Adobe Acrobat\<version>.0\JSPrefs

-   mettre les pièces jointes au format PDF en quarantaine dans
    l'attente du correctif.

Par ailleurs, de bonnes pratiques permettent d'atténuer les impacts :

-   n'ouvrir que les documents au format PDF provenant d'une source de
    confiance ;
-   travailler avec un compte aux droits limités.

Afin de limiter l'impact d'un fichier PDF spécialement construit dans le
contexte de l'explorateur de fichiers de Microsoft Windows, le
contournement suivant peut être appliqué :

-   Après l'avoir sauvegardée, supprimer de la base de registre la clé
    :
    `HKEY_CLASSES_ROOT\CLSID\{F9DB5320-233E-11D1-9F84-707F02C10627}`

Exemple d'application avec un interpréteur de commandes sous Microsoft
Windows :

    regsvr32 /u ``c:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\PDFShell.dll''

ou encore :

    reg export HKCR\CLSID\{F9DB5320-233E-11D1-9F84-707F02C10627} .\export.reg
    reg delete HKCR\CLSID\{F9DB5320-233E-11D1-9F84-707F02C10627}

## Solution

Se référer aux bulletins de sécurité Adobe APSB09-03 et APSB09-04
publiés le 10 et le 18 mars respectivement pour l'obtention des
correctifs (cf. section Documentation). Le CERTA a émis l'avis
CERTA-2009-AVI-094 à ce sujet.

Bulletin de sécurité du CERTA CERTA-2009-AVI-094 du 11 mars    2009 :

Bulletin de sécurité Adobe apsa09-01 du 19 février 2009 :

Bulletin d'actualité CERTA-2009-ACT-008, « Vulnérabilité    non corrigée dans Adobe Reader » :

Bulletin d'actualité CERTA-2009-ACT-010, « Retour sur la    vulnérabilité PDF » :

Bulletin de sécurité Adobe apsb09-03 du 10 mars 2009 :

Bulletin de sécurité Adobe apsb09-04 du 18 mars 2009 :

Bulletin d'actualité CERTA-2009-ACT-009, « Retour sur    l'alerte CERTA-2009-ALE-001 concernant Adobe » :

version initiale.

ajout des clés de registre pour la désactivation de l'interprétation JS par GPO.

mise à jour de la section «Description» et de la section «Contournement provisoire».

ajout des références aux bulletins d'actualité du CERTA.

ajout des références aux bulletins de sécurité d'Adobe et du CERTA.

ajout des références au dernier bulletin de sécurité d'Adobe APSB09-04.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité dans les produits Adobe permet à un utilisateur
malveillant d'exécuter du code arbitraire à distance.

Vulnérabilité dans l'interprétation JBIG2 des produits Adobe

Avis de sécurité Adobe APSA09-01 du 19 février 2009


Microsoft Office Excel 2007 Service Pack 1 ;

Microsoft Office 2008 pour Mac.

Microsoft Office Excel Viewer 2003 ;

Microsoft Office Excel Viewer ;

Microsoft Office Excel 2000 Service Pack 3 ;

Microsoft Office Compatibility Pack pour Word, Excel et Powerpoint 2007, Service Pack 1 ;

Microsoft Office Excel Viewer 2003 Service Pack 3 ;

Microsoft Office Excel 2003 Service Pack 3 ;

Microsoft Office 2004 pour Mac ;

Microsoft Office Excel 2002 Service Pack 3 ;

## Description

Une vulnérabilité a été identifiée sur l'application bureautique
Microsoft Excel.

L'exploitation de cette vulnérabilité par le biais d'un document XLS
spécialement conçu permet à une personne malveillante d'exécuter du code
arbitraire à distance sur un poste ayant une version vulnérable de
l'application.

## Contournement provisoire

Dans l'attente d'un correctif, plusieurs mesures permettent de réduire
l'impact de l'exploitation de cette vulnérabilité :

-   travailler avec un compte utilisateur aux droits restreints
    (principe du moindre privilège) ;
-   utiliser l'outil de conversion MOICE (Microsoft Office Isolated
    Conversion Environment) pour convertir tout fichier XLS en XSLX
    avant son ouverture ;
-   activer la mesure (très restrictive) FileBlock, imposant l'ouverture
    unique des fichiers au nouveau format XML. Les détails pratiques se
    trouvent dans l'avis de sécurité Microsoft ;
-   utiliser un logiciel alternatif (visualisateur, tableur ou suite
    bureautique) ;
-   n'ouvrir que des documents issus de sources de confiance ;
-   être circonspect à l'égard des pièces jointes de courriels et des
    documents téléchargés.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Article du bloc-notes MSRC correspondant :

Article du bloc-notes SWI correspondant :

Référence CVE CVE-2009-0238 :

Avis du CERTA numéro CERTA-2009-AVI-147 du 15 avril 2009 :

version initiale.

ajout du lien vers le correctif.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité a été identifiée sur Microsoft Excel. L'exploitation
de cette dernière par le biais d'un document spécialement conçu permet à
une personne malveillante d'exécuter du code arbitraire à distance sur
un poste ayant une version vulnérable de l'application.

Vulnérabilité dans Microsoft Excel

Bulletin de sécurité Microsoft MS09-009 du 14 avril 2009

Avis de sécurité Microsoft 968272 du 24 février 2009


Apple Mac OS X 10.5.x pour x86 ;

Apple Mac OS X 10.4.x pour x86.

## Description

Une vulnérabilité affectant un appel système d'Apple Mac OS X relatif au
format de système de fichiers HFS+ permet à une personne malintentionnée
d'élever ses privilèges sur le système.

Le savoir-faire permettant l'exploitation de cette vulnérabilité est
disponible sur l'Internet.

## Contournement provisoire

Les mesures suivantes permettent d'atténuer les risques d'exploitation :

-   ne pas exécuter de fichiers binaires qui ne sont pas de confiance ;

-   exécuter la commande suivante afin d'empêcher la création de fichier
    dmg en ligne de commande.

        sudo chmod 700 /usr/bin/hdiutil

ATTENTION : Le dernier contournement est susceptible de gérer des effets
de bord indésirables.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Apple 61798 du 12 mai 2009 :

Avis CERTA-2009-AVI-186 du 13 mai 2009 :

version initiale ;

ajout de la solution.

Élévation de privilèges

Summary:
Une vulnérabilité affectant Apple Mac OS X permet à une personne
malintentionnée d'élever ses privilèges sur le système cible.

Vulnérabilité dans Apple Mac OS X


Mozilla Firefox version 3.0.7 et versions antérieures.

## Description

Une vulnérabilité dans l'interprétation des fichiers XSL permet à une
personne distante malintentionnée de provoquer un déni de service et,
dans certaines circonstances, d'exécuter du code arbitraire par le biais
d'une corruption mémoire.

Des preuves de faisabilité sont disponibles sur l'Internet.

## Contournement provisoire

Le CERTA recommande les mesures suivantes :

-   désactiver l'interprétation du JavaScript afin de limiter les
    possibilités d'exécution de code arbitraire ;
-   utiliser un navigateur alternatif ;
-   naviguer avec un compte utilisateur aux droits limités.

## Solution

Se reférer au bulletin de sécurité de la fondation Mozilla MFSA2009-12
du 27 mars 2009.

Bulletin de sécurité de la fondation Mozilla MFSA2009-12 du    27 mars 2009 :

Bulletin de sécurité du CERTA CERTA-2009-AVI-121 du 30 mars    2009 :

version initiale.

ajout des références au bulletin de sécurité du CERTA et au bulletin de sécurité de la fondation Mozilla.

Déni de service à distance

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité affecte Mozilla Firefox et permet à une personne
distante malintentionnée d'exécuter du code arbitraire ou de réaliser un
déni de service.

Vulnérabilité dans Mozilla Firefox

Bloc-notes de sécurité de la fondation Mozilla


Microsoft Office 2004 pour Mac.

Microsoft Office PowerPoint 2000 SP3, 2002 SP3 (XP SP3), 2003 SP3 ;

## Description

Une vulnérabilité de PowerPoint est exploitable par un utilisateur
malveillant, par le biais d'un fichier PowerPoint spécialement conçu
(.PPS ou .PPT). L'ouverture de ce fichier par un utilisateur du système
vulnérable provoque l'exécution de code arbitraire avec les droits de
cet utilisateur.

Cette vulnérabilité est actuellement exploitée. Des programmes
malveillants (Exploit:Win32/Apptom pour Microsoft, Exploit:W32/Ppdropper
pour F-secure...) circulent sur l'Internet.

## Contournement provisoire

Dans l'attente d'un correctif, les mesures suivantes limitent la
vulnérabilité du système :

-   utiliser une version non vulnérable (voir section Documentation) ou
    un logiciel alternatif ;
-   utiliser l'outil MOICE pour ouvrir un document suspect ;
-   utiliser la fonctionnalité Microsoft Office File Block pour les
    documents des versions inférieures ou égales à 2003, soit par
    édition de la base de registre, soit par application d'une GPO. Les
    instructions détaillées sont données dans le bulletin Microsoft
    (voir section Documentation) ;
-   ne pas ouvrir de document d'origine mal connue ou provenant de
    manière inattendue d'une source connue.

L'utilisation de l'ordinateur avec des droits limités permet d'atténuer
l'impact de l'exploitation de la vulnérabilité.

## Solution

Se référer à l'avis CERTA-2009-AVI-185 pour l'obtention des correctifs
(cf. section Documentation).

Avis CERTA-2009-AVI-185 du 13 mai 2009 :

version initiale.

mise à disposition d'un correctif par l'éditeur, ajout de la référence de l'avis correspondant.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité de PowerPoint permet à un utilisateur malveillant
d'exécuter du code arbitraire à distance.

Vulnérabilité de PowerPoint

Bulletin de sécurité Microsoft 969136 du 02 avril 2009


Adobe Acrobat et Adobe Reader versions 8.1.4 et antérieures ;

Adobe Acrobat et Adobe Reader versions 7.1.1 et antérieures ;

Adobe Acrobat et Adobe Reader versions 9.1 et antérieures.

## Description

Deux vulnérabilités sont présentes dans Adobe Reader et Adobe Acrobat.
Elles sont relatives à certaines fonctions mises en œuvre dans le
contexte du moteur de rendu JavaScript de Adobe Reader et Adobe Acrobat.
Ces failles permettent toutes les deux à un utilisateur malintentionné
distant d'exécuter du code arbitraire par le biais d'un pointeur vers un
fichier PDF construit de façon particulière.

Ces vulnérabilités s'appuyant uniquement sur des fonctions Javascript,
elles ne sont donc pas dépendantes d'une plateforme particulière et
fonctionnent à la fois sous Microsoft Windows, GNU/Linux, UNIX et MacOS
X.

Des codes exploitant ces vulnérabilités sont disponibles sur l'Internet.

Adobe a publié un avis de sécurité précisant qu'un correctif sera mis à
disposition le 12 mai 2009. Il concernera les systèmes d'exploitation
Windows, MacOS et Unix.

## Contournement provisoire

Dans l'attente d'un correctif approprié, il est recommandé de désactiver
le support du JavaScript dans Adobe Reader et Adobe Acrobat en décochant
l'option Activer Acrobat Javascript dans Edition -\> Preferences -\>
Javascript ;

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bulletin de sécurité Adobe du 12 mai 2009 :

Bulletin de sécurité Adobe du 1er mai 2009 :

Bloc-notes PSIRT d'Adobe :

version initiale.

les vulnérabilités touchent également Acrobat et fonctionnent sur toute plateforme, ajout de la référence au bloc-notes d'Adobe.

ajout de la référence au bulletin Adobe APSA09-02 et aux CVE associés.

correctif disponible.

Exécution de code arbitraire à distance

Summary:
Deux vulnérabilités présentes dans Adobe Reader et Adobe Acrobat
permettent à un utilisateur distant d'exécuter du code arbitraire.

Multiples vulnérabilités dans Adobe Reader et Adobe Acrobat


Microsoft Internet Information Services (IIS), pour les    versions 5, 5.1 ou 6.0.

Microsoft Internet Information Services (IIS) 7.0 n'est pas  affecté.

## Description

Une vulnérabilité a été identifiée dans la gestion des en-têtes HTTP par
le serveur Microsoft IIS avec la fonctionnalité WebDAV (Web-based
Distributed Authoring and Versioning). Elle consiste en une mauvaise
manipulation de caractères Unicode et peut être exploitée pour
contourner la phase d'authentification et ainsi accéder (lire, charger
et télécharger) à des fichiers arbitraires.

Du code d'exploitation est disponible sur l'Internet.

## Contournement provisoire

Plusieurs contournements sont envisageables dans l'attente d'un
correctif :

-   si WebDAV n'est pas nécessaire, il doit être désactivé. C'est le cas
    par défaut sous IIS 6 ;
-   restreindre l'accès Web aux machines de confiance ;
-   filtrer les requêtes HTTP entrantes dont l'URL contient la chaîne
    %c0%af et l'en-tête HTTP présente l'information Translate: f.
    L'assistant IIS Lockdown et URLscan peuvent aider dans cette
    démarche, ainsi qu'une passerelle intermédiaire. Les méthodes
    inutiles doivent également être filtrées (PROPFIND par exemple). ;
-   changer les droits d'accès (ACL) du système de fichiers pour
    l'utilisateur anonyme IUSR\_\[Nom-de-la-machine\] ;
-   migrer sous IIS 7 qui n'est pas, avec WebDAV, touché par cette
    vulnérabilité.

## Solution

Se référer au bulletin de sécurité Microsoft MS09-020 pour l'obtention
des correctifs (cf. section Documentation). Le CERTA a publié l'avis
CERTA-2009-AVI-215 à ce sujet.

Forum IIS, "Disable WebDAV protocol on IIS 6.0", mai    2008 :

Référence CVE CVE-2009-1535 :

Page d'accueil Microsoft IIS :

Microsoft IIS Lockdown Tool :

Microsoft IIS Lockdown Tool :

Avis du CERTA CERTA-2001-AVI-053 du 15 mai 2001 :

Bloc-notes de T. Zoller, "IIS6 + WebDAV auth bypass and    data upload", 16 mai 2009 :

Source d'informations sur WebDAV :

Avis de sécurité Microsoft 971492 du 18 mai 2009 :

Bloc-notes Microsoft SRD, "More information about the IIS    authentication bypass", 18 mai 2009 :

Avis CERTA-2009-AVI-215 du 10 juin 2009 :

version initiale.

ajout de la référence à l'avis de sécurité Microsoft associé.

ajout de la référence au bulletin de sécurité Microsoft MS09-020.

Atteinte à l'intégrité des données

Contournement de la politique de sécurité

Summary:
Une vulnérabilité a été identifiée dans Microsoft IIS avec la
fonctionnalité WebDAV. Elle permet à une personne malveillante distante
de contourner la phase d'authentification et ainsi accéder (lire,
charger et télécharger) à des fichiers arbitraires.

Vulnérabilité WebDAV sous Microsoft IIS


Mac OS X versions 10.5.7 et antérieures disposant de la version 1.5.0_16 et antérieures de Java.

## Description

Une vulnérabilité, décrite dans le bulletin CVE CVE-2008-5353,
non-corrigée pour les systèmes Mac OS X permet à un individu distant
d'exécuter du code arbitraire. Cette vulnérabilité affecte la Machine
Virtuelle Java du système. Les navigateurs permettant l'exécution de
Java sont affectés (Mozilla Firefox et Safari notamment). La visite
d'une page compromise ou malveillante permet d'exécuter du code
arbitraire sur un système vulnérable.

Des codes exploitant cette vulnérabilité sont disponibles sur
l'Internet.

## Contournement provisoire

Dans l'attente d'un correctif approprié il est recommandé de :

-   ne pas exécuter de code Java dont la source n'est pas sûre ;
-   désactiver la prise en charge de Java dans le navigateur :
    -   dans les Préférences de Mozilla Firefox : décocher la case «
        Activer Java » dans l'onglet « Contenu » ;
    -   dans les Préférences de Safari : décocher la case « Activer Java
        » dans l'onglet « Sécurité ».
-   n'activer Java que sur les sites de confiance.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Document du CERTA CERTA-2008-AVI-578 du 24 décembre 2008 :

Document du CERTA CERTA-2009-AVI-239 du 17 juin 2009 :

Bulletins de sécurité Apple HT3632 et HT3633 du 15 juin    2009 :

version initiale ;

ajout du correctif.

Exécution de code arbitraire à distance

Summary:
Une vulnérabilité de la Machine Virtuelle
Java permet à un individu distant d'exécuter du code arbitraire.

Vulnérabilité Java de Mac OS X

Bulletin de sécurité du CERTA CERTA-2008-AVI-578 du 24 décembre 2008


DirectX 9.0x pour Microsoft Windows 2000 Service Pack 4, Windows XP Service Pack 2 et 3 et Windows Server 2003 Service Pack 2.

DirectX 8.1 pour Microsoft Windows 2000 Service Pack 4 ;

DirectX 7.0 pour Microsoft Windows 2000 Service Pack 4 ;

## Description

Une vulnérabilité a été identifiée dans la manipulation de fichiers
multimédia Quicktime par Microsoft DirectShow (quartz.dll).

Elle peut être exploitée à distance par le biais de pages Web
spécialement construites afin d'exécuter, lors de la navigation sur ces
pages, du code arbitraire sur le système vulnérable. L'exploitation peut
se faire indépendemment du navigateur choisi dans la mesure où un module
de lecture multimédia est utilisé.

La pré-visualisation ou le passage de la souris sur un fichier
malveillant (répertoire de partage par exemple) peut également provoquer
la compromission du système.

Des codes d'exploitation sont actuellement disponibles sur l'Internet.

## Contournement provisoire

Le filtrage ou la désactivation de certains formats de fichiers
QuickTime n'est pas suffisant. D'autres formats peuvent également
contenir des données QuickTime (les AVI par exemple). Il faut donc
désactiver de préférence l'interprétation de ces données. Cela peut se
faire en supprimant la clé de registre suivante :

    HKC_ROOT\CLSID\{D51BD5A0-7548-11CF-A520-0080C77EF58A}

L'avis de sécurité KB971778 de Microsoft pointe vers un service nommé
Fix it permettant d'effectuer cette opération sous forme d'un logiciel à
installer.

Une autre mesure peut consister à restreindre l'accès à la bibliothèque
quartz.dll. La procédure est aussi indiquée dans l'avis de sécurité
KB971778. Cette mesure peut cependant avoir des effets de bord sur
certains lecteurs multimédia et des applications tierces.

## Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des
correctifs (cf. section Documentation).

Bloc-Notes Microsoft SRD, "New vulnerability in quartz.dll    Quicktime parsing", 28 mai 2009 :

Bloc-Notes Microsoft SRD, "MS08-033: So what breaks when    you ACL quartz.dll?", 10 juin 2008 :

Bulletin de sécurité Microsoft MS09-028 du 14 juillet 2009    :

Avis CERTA-2009-AVI-273 du 15 juillet 2009 :

Bloc-notes Microsoft MSRC, "Microsoft Security Advisory    971778 Vulnerability in Microsoft DirectShow Released", 28 mai    2009 :

version initiale.

ajout du lien vers le correctif.

Déni de service à distance

Exécution de code arbitraire à distance

Vulnérabilité dans Microsoft DirectShow

Avis de sécurité Microsoft KB971778 du 28 mai 2009