CERTA-2007-ALE-007
Vulnerability from certfr_alerte - Published: - Updated:
Une vulnérabilité a été découverte dans une bibliothèque de Microsoft Windows.
Description
Microsoft Windows Explorer utilise une bibliothèque permettant d'analyser les informations contenues dans des documents Microsoft Office.
La bibliothèque OLE32.dll serait sensible à une attaque de type corruption de mémoire par le biais d'un document Microsoft Office spécialement conçu.
L'exploitation de cette vulnérabilité permet au minimum de réaliser un déni de service.
Du code d'exploitation circule sur Internet.
Contournement provisoire
5.1 Utiliser un format de document alternatif
Le CERTA recommande l'utilisation d'un format de document alternatif tel que le RTF.
5.2 Utiliser un logiciel alternatif
Le CERTA recommande d'utiliser un outil de visualisation des documents au format Word alternatif à jour (WordPad ou AbiWord).
5.3 Mettre à jour la base de signatures d'antivirus
Certains éditeurs d'antivirus proposent déjà des mises à jours de signatures prenant en compte les codes malveillants sous sa forme actuelle. Il est cependant probable que des variantes apparaissent afin de contourner ces antivirus.
5.4 Filtrer les pièces jointes au niveau des passerelles
Dans la mesure du possible, il est recommandé de filtrer les fichiers au format Word (extension .doc) au niveau des passerelles (messagerie, web ...).
5.5 N'ouvrir que les documents provenant de sources de confiance
A la reception d'un document au format doc soit par le biais de la messagerie électronique ou sur tout autre support, il est nécessaire de s'assurer de la provenance de ce fichier et de ne l'ouvrir que si la source est de confiance et après analyse par un antivirus à jour.
5.6 Limiter l'impact en utilisant un compte utilisateur sans privilège
L'utilisation de compte n'ayant pas de droits d'administration permet de limiter l'infection au contexte de l'utilisateur.
Solution
L'éditeur affirme que cette vulnérabilité ne permet pas d'exécuter du code arbitraire. Cette vulnérabilité ne justifiant plus le même niveau de vigilance le CERTA a décidé de réévaluer cette alerte.
None| Title | Publication Time | Tags | ||||||
|---|---|---|---|---|---|---|---|---|
|
||||||||
{
"$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
"affected_systems": [
{
"description": "Microsoft Windows XP ;",
"product": {
"name": "Windows",
"vendor": {
"name": "Microsoft",
"scada": false
}
}
},
{
"description": "Microsoft Windows 2000.",
"product": {
"name": "Windows",
"vendor": {
"name": "Microsoft",
"scada": false
}
}
}
],
"affected_systems_content": null,
"closed_at": "2008-10-09",
"content": "## Description\n\nMicrosoft Windows Explorer utilise une biblioth\u00e8que permettant\nd\u0027analyser les informations contenues dans des documents Microsoft\nOffice.\n\nLa biblioth\u00e8que OLE32.dll serait sensible \u00e0 une attaque de type\ncorruption de m\u00e9moire par le biais d\u0027un document Microsoft Office\nsp\u00e9cialement con\u00e7u.\n\nL\u0027exploitation de cette vuln\u00e9rabilit\u00e9 permet au minimum de r\u00e9aliser un\nd\u00e9ni de service.\n\nDu code d\u0027exploitation circule sur Internet.\n\n## Contournement provisoire\n\n## 5.1 Utiliser un format de document alternatif\n\nLe CERTA recommande l\u0027utilisation d\u0027un format de document alternatif tel\nque le RTF.\n\n## 5.2 Utiliser un logiciel alternatif\n\nLe CERTA recommande d\u0027utiliser un outil de visualisation des documents\nau format Word alternatif \u00e0 jour (WordPad ou AbiWord).\n\n## 5.3 Mettre \u00e0 jour la base de signatures d\u0027antivirus\n\nCertains \u00e9diteurs d\u0027antivirus proposent d\u00e9j\u00e0 des mises \u00e0 jours de\nsignatures prenant en compte les codes malveillants sous sa forme\nactuelle. Il est cependant probable que des variantes apparaissent afin\nde contourner ces antivirus.\n\n## 5.4 Filtrer les pi\u00e8ces jointes au niveau des passerelles\n\nDans la mesure du possible, il est recommand\u00e9 de filtrer les fichiers au\nformat Word (extension .doc) au niveau des passerelles (messagerie, web\n...).\n\n## 5.5 N\u0027ouvrir que les documents provenant de sources de confiance\n\nA la reception d\u0027un document au format doc soit par le biais de la\nmessagerie \u00e9lectronique ou sur tout autre support, il est n\u00e9cessaire de\ns\u0027assurer de la provenance de ce fichier et de ne l\u0027ouvrir que si la\nsource est de confiance et apr\u00e8s analyse par un antivirus \u00e0 jour.\n\n## 5.6 Limiter l\u0027impact en utilisant un compte utilisateur sans privil\u00e8ge\n\nL\u0027utilisation de compte n\u0027ayant pas de droits d\u0027administration permet de\nlimiter l\u0027infection au contexte de l\u0027utilisateur.\n\n## Solution\n\nL\u0027\u00e9diteur affirme que cette vuln\u00e9rabilit\u00e9 ne permet pas d\u0027ex\u00e9cuter du\ncode arbitraire. Cette vuln\u00e9rabilit\u00e9 ne justifiant plus le m\u00eame niveau\nde vigilance le CERTA a d\u00e9cid\u00e9 de r\u00e9\u00e9valuer cette alerte.\n",
"cves": [
{
"name": "CVE-2007-1347",
"url": "https://www.cve.org/CVERecord?id=CVE-2007-1347"
}
],
"links": [
{
"title": "Note de vuln\u00e9rabilit\u00e9 de l\u0027US-CERT VU#194944 du 07 mars 2007 :",
"url": "http://www.kb.cert.org/vuls/id/194944"
}
],
"reference": "CERTA-2007-ALE-007",
"revisions": [
{
"description": "version initiale.",
"revision_date": "2007-03-09T00:00:00.000000"
},
{
"description": "r\u00e9\u00e9valuation de l\u0027alerte (passage en statut corrig\u00e9).",
"revision_date": "2008-10-09T00:00:00.000000"
}
],
"risks": [
{
"description": "D\u00e9ni de service"
}
],
"summary": "Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9couverte dans une biblioth\u00e8que de Microsoft\nWindows.\n",
"title": "Vuln\u00e9rabilit\u00e9 de Microsoft Windows Explorer",
"vendor_advisories": [
{
"published_at": null,
"title": "Alerte VU#194944 de l\u0027US-CERT",
"url": null
}
]
}
Sightings
| Author | Source | Type | Date |
|---|
Nomenclature
- Seen: The vulnerability was mentioned, discussed, or observed by the user.
- Confirmed: The vulnerability has been validated from an analyst's perspective.
- Published Proof of Concept: A public proof of concept is available for this vulnerability.
- Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
- Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
- Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
- Not confirmed: The user expressed doubt about the validity of the vulnerability.
- Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.