CERTA-2006-ALE-009

Vulnerability from certfr_alerte - Published: - Updated:

Une vulnérabilité non corrigée dans une librairie de Microsoft Office permettrait à un utilisateur mal intentionné d'exécuter du code arbitraire ou de provoquer un déni de service à distance. Un code en circulation exploite cette vulnérabilité par le biais de documents Powerpoint.

Description

Les fonctions mso (Microsoft Office) sont des fonctions spéciales disponibles dans la librairie mso.dll d'Office. Elles s'occupent par exemple des affichages de bulles, des barres de menu, des boîtes de dialogue, etc. Ces fonctions sont appelées par plusieurs applications de Microsoft Office, notamment Word ou Powerpoint.

Une vulnérabilité a été identifiée dans la librairie mso.dll. Elle fait l'objet d'une utilisation par du code malveillant sur l'Internet. Elle est exploitée par le biais d'un document Powerpoint.

Powerpoint serait également impacté par deux autres vulnérabilités. Cette information n'est pas confirmée pour le moment.

Contournement provisoire

5.1 Utiliser les visionneuses Office dans la mesure du possible

La visionneuse de documents Powerpoint ne serait pas affectée par les vulnérabilités précédentes.

5.2 Mettre à jour la base de signatures d'antivirus

Certains éditeurs d'antivirus proposent déjà des mises à jour de signatures prenant en compte le code malveillant sous sa forme actuelle. Il est cependant probable que des variantes apparaissent afin de contourner ces signatures.

5.3 Filter les pièces jointes au niveau de la passerelle de la messagerie

Les passerelles de messagerie offrent le plus souvent la possibilité de filtrer les documents en pièce jointe. Dans les cas les plus simples, elles se basent sur l'extension du nom du fichier. Dans la mesure du possible, il est conseillé de filtrer les extensions .ppt venant de domaines externes.

5.4 Ouvrir les documents provenant de sources de confiance

A la réception d'un document Office (au format .ppt compte tenu du code malveillant actuel), soit par le biais de la messagerie électronique ou sur tout autre support, il est nécessaire de s'assurer de la provenance de ce fichier et de ne l'ouvrir que si la source est de confiance.

Solution

Appliquer le correctif MS06-048 de l'éditeur Microsoft (Cf. section documentation).

  • Microsoft Powerpoint dans Microsoft Office XP ;
  • Microsoft Powerpoint 2002 dans Microsoft Office 2003 ;
  • Microsoft Powerpoint 2003 dans 0ffice 2000 ;
  • Microsoft Powerpoint dans Office 2004 pour MacOS.

Microsoft Office concerne une suite d'applications, incluant Excel, FrontPage, Outlook, Powerpoint, Publisher et Word.

La visionneuse de documents Powerpoint (Microsoft Powerpoint Viewer) ne serait pas affectée par cette vulnérabilité.

Impacted products
Vendor Product Description
References

Show details on source website
To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cUL\u003e    \u003cLI\u003eMicrosoft Powerpoint dans Microsoft Office XP ;\u003c/LI\u003e    \u003cLI\u003eMicrosoft Powerpoint 2002 dans Microsoft Office 2003 ;\u003c/LI\u003e    \u003cLI\u003eMicrosoft Powerpoint 2003 dans 0ffice 2000 ;\u003c/LI\u003e    \u003cLI\u003eMicrosoft Powerpoint dans Office 2004 pour MacOS.\u003c/LI\u003e  \u003c/UL\u003e  \u003cP\u003eMicrosoft Office concerne une suite d\u0027applications, incluant  Excel, FrontPage, Outlook, Powerpoint, Publisher et Word.\u003c/P\u003e  \u003cP\u003eLa visionneuse de documents Powerpoint (\u003cTT\u003eMicrosoft  Powerpoint Viewer\u003c/TT\u003e) ne serait pas affect\u00e9e par cette  vuln\u00e9rabilit\u00e9.\u003c/P\u003e",
  "closed_at": "2006-08-09",
  "content": "## Description\n\nLes fonctions mso (Microsoft Office) sont des fonctions sp\u00e9ciales\ndisponibles dans la librairie mso.dll d\u0027Office. Elles s\u0027occupent par\nexemple des affichages de bulles, des barres de menu, des bo\u00eetes de\ndialogue, etc. Ces fonctions sont appel\u00e9es par plusieurs applications de\nMicrosoft Office, notamment Word ou Powerpoint.\n\nUne vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e dans la librairie mso.dll. Elle fait\nl\u0027objet d\u0027une utilisation par du code malveillant sur l\u0027Internet. Elle\nest exploit\u00e9e par le biais d\u0027un document Powerpoint.\n\nPowerpoint serait \u00e9galement impact\u00e9 par deux autres vuln\u00e9rabilit\u00e9s.\nCette information n\u0027est pas confirm\u00e9e pour le moment.\n\n## Contournement provisoire\n\n## 5.1 Utiliser les visionneuses Office dans la mesure du possible\n\nLa visionneuse de documents Powerpoint ne serait pas affect\u00e9e par les\nvuln\u00e9rabilit\u00e9s pr\u00e9c\u00e9dentes.\n\n## 5.2 Mettre \u00e0 jour la base de signatures d\u0027antivirus\n\nCertains \u00e9diteurs d\u0027antivirus proposent d\u00e9j\u00e0 des mises \u00e0 jour de\nsignatures prenant en compte le code malveillant sous sa forme actuelle.\nIl est cependant probable que des variantes apparaissent afin de\ncontourner ces signatures.\n\n## 5.3 Filter les pi\u00e8ces jointes au niveau de la passerelle de la messagerie\n\nLes passerelles de messagerie offrent le plus souvent la possibilit\u00e9 de\nfiltrer les documents en pi\u00e8ce jointe. Dans les cas les plus simples,\nelles se basent sur l\u0027extension du nom du fichier. Dans la mesure du\npossible, il est conseill\u00e9 de filtrer les extensions .ppt venant de\ndomaines externes.\n\n## 5.4 Ouvrir les documents provenant de sources de confiance\n\nA la r\u00e9ception d\u0027un document Office (au format .ppt compte tenu du code\nmalveillant actuel), soit par le biais de la messagerie \u00e9lectronique ou\nsur tout autre support, il est n\u00e9cessaire de s\u0027assurer de la provenance\nde ce fichier et de ne l\u0027ouvrir que si la source est de confiance.\n\n## Solution\n\nAppliquer le correctif MS06-048 de l\u0027\u00e9diteur Microsoft (Cf. section\ndocumentation).\n",
  "cves": [
    {
      "name": "CVE-2006-3656",
      "url": "https://www.cve.org/CVERecord?id=CVE-2006-3656"
    },
    {
      "name": "CVE-2006-3590",
      "url": "https://www.cve.org/CVERecord?id=CVE-2006-3590"
    },
    {
      "name": "CVE-2006-3655",
      "url": "https://www.cve.org/CVERecord?id=CVE-2006-3655"
    },
    {
      "name": "CVE-2006-3660",
      "url": "https://www.cve.org/CVERecord?id=CVE-2006-3660"
    },
    {
      "name": "CVE-2006-3493",
      "url": "https://www.cve.org/CVERecord?id=CVE-2006-3493"
    }
  ],
  "links": [
    {
      "title": "T\u00e9l\u00e9chargement de la visionneuse Microsoft Powerpoint :",
      "url": "http://www.microsoft.com/downloads/Products.aspx?displaylang=fr"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Microsoft MS06-048 du 08 ao\u00fbt 2006 :",
      "url": "http://www.microsoft.com/france/technet/security/Bulletin/MS06-046.mspx"
    },
    {
      "title": "Avis CERTA CERTA-2006-AVI-346 du 09 ao\u00fbt 2006 :",
      "url": "http://www.certa.ssi.gouv.fr/site/CERTA-2006-AVI-346/"
    },
    {
      "title": "Memento du CERTA sur les virus informatiques :",
      "url": "http://www.certa.ssi.gouv.fr/site/CERTA-2005-MEM-001.pdf"
    },
    {
      "title": "Bulletin de s\u00e9curit\u00e9 Microsoft MS06-048 du 08 ao\u00fbt 2006 :",
      "url": "http://www.microsoft.com/technet/security/Bulletin/MS06-048.mspx"
    }
  ],
  "reference": "CERTA-2006-ALE-009",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2006-07-15T00:00:00.000000"
    },
    {
      "description": "ajout de r\u00e9f\u00e9rences.",
      "revision_date": "2006-07-18T00:00:00.000000"
    },
    {
      "description": "ajout du correctif MS06-048 de Microsoft et de l\u0027avis CERTA-2006-AVI-346.",
      "revision_date": "2006-08-09T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "D\u00e9ni de service \u00e0 distance"
    },
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    }
  ],
  "summary": "Une vuln\u00e9rabilit\u00e9 non corrig\u00e9e dans une librairie de Microsoft Office\npermettrait \u00e0 un utilisateur mal intentionn\u00e9 d\u0027ex\u00e9cuter du code\narbitraire ou de provoquer un d\u00e9ni de service \u00e0 distance. Un code en\ncirculation exploite cette vuln\u00e9rabilit\u00e9 par le biais de documents\nPowerpoint.\n",
  "title": "Vuln\u00e9rabilit\u00e9 de la librairie MSO.DLL dans Microsoft Office",
  "vendor_advisories": []
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or observed by the user.
  • Confirmed: The vulnerability has been validated from an analyst's perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
  • Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
  • Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
  • Not confirmed: The user expressed doubt about the validity of the vulnerability.
  • Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.



Detection rules are retrieved from Rulezet.