CERTA-2008-ALE-005

Vulnerability from certfr_alerte - Published: - Updated:

Une vulnérabilité dans Microsoft Jet Database Engine permet à une personne malintentionnée d'exécuter du code arbitraire à distance.

Description

Une vulnérabilité de type débordement de mémoire affecte Microsoft Jet Database Engine. Elle permet à une personne malintentionnée d'exécuter du code arbitraire à distance avec les droits de l'utilisateur. Cette faille semble être ancienne, toutefois elle n'a pas été corrigée par Microsoft car l'éditeur ne considère pas le format mdb (Microsoft Access) comme un format sûr (comme les fichiers exe, bat, cmd par exemple). Ainsi, ce type de fichier est par exemple automatiquement bloqué dans Microsoft Outlook (voir KB#925330).

Cependant, il a récemment été montré que la vulnérabilité de Msjet40.dll dont fait l'objet cet avis peut toutefois être exploitée via l'ouverture d'un fichier au format doc, qui appelle à son tour un fichier mdb spécifiquement construit.

Plusieurs cas d'exploitations ont d'ores et déjà été signalés à Microsoft.

Mise à jour du 14 mai 2008 :

Cette vulnérabilité est corrigée et mentionnée dans le bulletin Microsoft MS08-044 publié le 13 mai 2008. Ce dernier est détaillé dans l'avis CERTA-2008-AVI-244.

Contournement provisoire

Dans l'attente d'un correctif, plusieurs mesures permettent de réduire l'impact de l'exploitation de cette vulnérabilité :

  • utiliser un compte aux droits restreints ;
  • utiliser un logiciel de traitement de texte alternatif ;
  • n'ouvrir que des documents de confiance ;
  • être circonspect à l'égard des pièces jointes de courriels.

Il est également possible de désactiver le Microsoft Jet Database Engine en exécutant la commande suivante :

echo y| cacls "%SystemRoot%\system32\msjet40.dll" /E /P everyone:N

Ceci a pour effet de restreindre l'accès au fichier msjet40.dll à tous les utilisateurs. Les applications faisant appel à Microsoft Jet Database Engine risquent de ne plus fonctionner.

Pour restaurer un accès normal à ce fichier, exécuter :

echo y| cacls "%SystemRoot%\system32\msjet40.dll" /E /R everyone

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Les versions suivantes de Microsoft Word sont affectées :

  • Word 2000 Service Pack 3 ;
  • Word 2002 Service Pack 3 ;
  • Word 2003 Service Pack 2 ;
  • Word 2003 Service Pack 3 ;
  • Word 2007 ;
  • Word 2007 Service Pack 1.

Seuls les systèmes d'exploitation Microsoft Windows 2000 Service Pack 4, Windows XP Service Pack 2, et Windows Server 2003 Service Pack 1 sont concernés. Les versions de Microsoft Jet Database Engine affectées sont antérieures à 4.0.9505.0 (Msjet40.dll).

Impacted products
Vendor Product Description
References

Show details on source website
To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cP\u003eLes versions suivantes de \u003cSPAN class=\n  \"textit\"\u003eMicrosoft\u003c/SPAN\u003e Word sont affect\u00e9es :\u003c/P\u003e  \u003cUL\u003e    \u003cLI\u003eWord 2000 Service Pack 3 ;\u003c/LI\u003e    \u003cLI\u003eWord 2002 Service Pack 3 ;\u003c/LI\u003e    \u003cLI\u003eWord 2003 Service Pack 2 ;\u003c/LI\u003e    \u003cLI\u003eWord 2003 Service Pack 3 ;\u003c/LI\u003e    \u003cLI\u003eWord 2007 ;\u003c/LI\u003e    \u003cLI\u003eWord 2007 Service Pack 1.\u003c/LI\u003e  \u003c/UL\u003e  \u003cP\u003eSeuls les syst\u00e8mes d\u0027exploitation Microsoft Windows 2000  Service Pack 4, Windows XP Service Pack 2, et Windows Server 2003  Service Pack 1 sont concern\u00e9s. Les versions de \u003cSPAN class=\n  \"textit\"\u003eMicrosoft\u003c/SPAN\u003e Jet Database Engine affect\u00e9es sont  ant\u00e9rieures \u00e0 4.0.9505.0 (\u003cTT\u003eMsjet40.dll\u003c/TT\u003e).\u003c/P\u003e",
  "closed_at": "2008-05-14",
  "content": "## Description\n\nUne vuln\u00e9rabilit\u00e9 de type d\u00e9bordement de m\u00e9moire affecte Microsoft Jet\nDatabase Engine. Elle permet \u00e0 une personne malintentionn\u00e9e d\u0027ex\u00e9cuter\ndu code arbitraire \u00e0 distance avec les droits de l\u0027utilisateur. Cette\nfaille semble \u00eatre ancienne, toutefois elle n\u0027a pas \u00e9t\u00e9 corrig\u00e9e par\nMicrosoft car l\u0027\u00e9diteur ne consid\u00e8re pas le format mdb (Microsoft\nAccess) comme un format s\u00fbr (comme les fichiers exe, bat, cmd par\nexemple). Ainsi, ce type de fichier est par exemple automatiquement\nbloqu\u00e9 dans Microsoft Outlook (voir KB#925330).\n\nCependant, il a r\u00e9cemment \u00e9t\u00e9 montr\u00e9 que la vuln\u00e9rabilit\u00e9 de Msjet40.dll\ndont fait l\u0027objet cet avis peut toutefois \u00eatre exploit\u00e9e via l\u0027ouverture\nd\u0027un fichier au format doc, qui appelle \u00e0 son tour un fichier mdb\nsp\u00e9cifiquement construit.\n\nPlusieurs cas d\u0027exploitations ont d\u0027ores et d\u00e9j\u00e0 \u00e9t\u00e9 signal\u00e9s \u00e0\nMicrosoft.\n\n  \n  \n\nMise \u00e0 jour du 14 mai 2008 :\n\nCette vuln\u00e9rabilit\u00e9 est corrig\u00e9e et mentionn\u00e9e dans le bulletin\nMicrosoft MS08-044 publi\u00e9 le 13 mai 2008. Ce dernier est d\u00e9taill\u00e9 dans\nl\u0027avis CERTA-2008-AVI-244.\n\n## Contournement provisoire\n\nDans l\u0027attente d\u0027un correctif, plusieurs mesures permettent de r\u00e9duire\nl\u0027impact de l\u0027exploitation de cette vuln\u00e9rabilit\u00e9 :\n\n-   utiliser un compte aux droits restreints ;\n-   utiliser un logiciel de traitement de texte alternatif ;\n-   n\u0027ouvrir que des documents de confiance ;\n-   \u00eatre circonspect \u00e0 l\u0027\u00e9gard des pi\u00e8ces jointes de courriels.\n\nIl est \u00e9galement possible de d\u00e9sactiver le Microsoft Jet Database Engine\nen ex\u00e9cutant la commande suivante :\n\n`echo y| cacls \"%SystemRoot%\\system32\\msjet40.dll\" /E /P  everyone:N`\n\nCeci a pour effet de restreindre l\u0027acc\u00e8s au fichier msjet40.dll \u00e0 tous\nles utilisateurs. Les applications faisant appel \u00e0 Microsoft Jet\nDatabase Engine risquent de ne plus fonctionner.\n\nPour restaurer un acc\u00e8s normal \u00e0 ce fichier, ex\u00e9cuter :\n\n`echo y| cacls \"%SystemRoot%\\system32\\msjet40.dll\" /E /R  everyone`\n\n## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n",
  "cves": [
    {
      "name": "CVE-2008-1092",
      "url": "https://www.cve.org/CVERecord?id=CVE-2008-1092"
    }
  ],
  "links": [
    {
      "title": "Bulletin de s\u00e9curit\u00e9 de l\u0027US-CERT VU#936529",
      "url": "http://www.kb.cert.org/vuls/id/936529"
    },
    {
      "title": "Document du CERTA CERTA-2008-AVI-244 du 14 mai 2008 :",
      "url": "http://www.certa.ssi.gouv.fr/site/CERTA-2008-AVI-244/index.html"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Microsoft MS08-028 du 13 mai 2008 :",
      "url": "http://www.microsoft.com/technet/security/Bulletin/MS08-028.mspx"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Microsoft MS08-028 du 13 mai 2008 :",
      "url": "http://www.microsoft.com/france/technet/security/Bulletin/MS08-028.mspx"
    },
    {
      "title": "R\u00e9f\u00e9rence CVE CVE-2008-1092 :",
      "url": "http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1092"
    },
    {
      "title": "Article d\u00e9crivant les fichiers non s\u00fbrs :",
      "url": "http://support.microsoft.com/kb/925330"
    },
    {
      "title": "Entr\u00e9e du 24 mars 2008 dans le bloc-notes du MSRC :",
      "url": "http://blogs.technet.com/msrc/archive/2008/03/24/update-msrc-blog-microsoft-security-advisory-950627.aspx"
    }
  ],
  "reference": "CERTA-2008-ALE-005",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2008-03-25T00:00:00.000000"
    },
    {
      "description": "correction d\u0027un lien, ajout d\u0027un contournement provisoire et de la r\u00e9f\u00e9rence au bulletin de l\u0027US CERT.",
      "revision_date": "2008-03-26T00:00:00.000000"
    },
    {
      "description": "publication du correctif par l\u0027\u00e9diteur.",
      "revision_date": "2008-05-14T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    }
  ],
  "summary": "Une vuln\u00e9rabilit\u00e9 dans \u003cspan class=\"textit\"\u003eMicrosoft\u003c/span\u003e Jet\nDatabase Engine permet \u00e0 une personne malintentionn\u00e9e d\u0027ex\u00e9cuter du code\narbitraire \u00e0 distance.\n",
  "title": "Vuln\u00e9rabilit\u00e9 dans Microsoft Jet Database Engine",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 Microsoft #950627 du 21 mars 2008",
      "url": "http://www.microsoft.com/technet/security/advisory/950627.mspx"
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or observed by the user.
  • Confirmed: The vulnerability has been validated from an analyst's perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
  • Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
  • Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
  • Not confirmed: The user expressed doubt about the validity of the vulnerability.
  • Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.



Detection rules are retrieved from Rulezet.