Bulletin de sécurité Microsoft MS12-040 - Important

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Dans le cas d'une attaque Web, l'attaquant devrait héberger un site Web contenant une page Web spécialement conçue pour exploiter cette vulnérabilité. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent du contenu ou des annonces provenant d'utilisateurs pourraient contenir du contenu malveillant susceptible d'exploiter cette vulnérabilité. Cependant, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Un attaquant devrait convaincre les utilisateurs de visiter ce site Web, généralement en les incitant à cliquer sur un lien dans un message électronique ou un message instantané menant à son site, puis de cliquer sur une URL spécialement conçue utilisée pour exploiter cette vulnérabilité.
• Les utilisateurs d'Internet Explorer 8 et d'Internet Explorer 9 qui naviguent vers un site Microsoft Dynamics AX 2012 Enterprise Portal dans la zone Internet sont moins exposés. Par défaut, le filtre XSS d'Internet Explorer 8 et Internet Explorer 9 empêche cette attaque dans la zone Internet. Cependant, le filtre XSS d'Internet Explorer 8 et Internet Explorer 9 n'est pas activé par défaut dans la zone intranet.
• Cette vulnérabilité ne peut pas être exploitée automatiquement par le biais de messages électroniques. Pour qu'une attaque aboutisse, l'utilisateur doit cliquer sur une URL spécialement conçue faisant partie du message.

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

• Activer le filtre XSS pour la zone de sécurité Intranet local d'Internet Explorer 8 et Internet Explorer 9

  Vous pouvez vous protéger contre cette vulnérabilité en modifiant vos paramètres pour activer le filtre XSS dans la zone de sécurité Intranet local. (Le filtre XSS est activé par défaut dans la zone de sécurité Internet.) Pour ce faire, procédez ainsi :

  1. Dans Internet Explorer 8 ou Internet Explorer 9, cliquez sur Options Internet dans le menu Outils.
  2. Cliquez sur l'onglet Sécurité.
  3. Cliquez sur Intranet local, puis sur Personnaliser le niveau.
  4. Sous Paramètres, dans la section Script, sous Activer le filtre XSS, cliquez sur Activer, puis cliquez sur OK.
  5. Cliquez sur OK à deux reprises pour retourner dans Internet Explorer.

  Impact de cette solution de contournement. Les sites internes non signalés précédemment comme présentant des risques XSS pourront désormais être signalés.

  Comment annuler cette solution de contournement. 

  Pour annuler cette solution de contournement, procédez comme suit :

  1. Dans Internet Explorer 8 ou Internet Explorer 9, cliquez sur Options Internet dans le menu Outils.
  2. Cliquez sur l'onglet Sécurité.
  3. Cliquez sur Intranet local, puis sur Personnaliser le niveau.
  4. Sous Paramètres, dans la section Script, sous Activer le filtre XSS, cliquez sur Désactiver, puis cliquez sur OK.
  5. Cliquez sur OK à deux reprises pour retourner dans Internet Explorer.

Quelle est la portée de cette vulnérabilité ? 
Il s'agit d'une vulnérabilité de script inter-sites (XSS ou cross-site scripting) qui pourrait entraîner une élévation de privilèges ou la divulgation d'informations.

Quel est le composant concerné par cette vulnérabilité ? 
Le composant Enterprise Portal de Microsoft Dynamics AX 2012 est concerné.

Quelle est la cause de cette vulnérabilité ? 
Cette vulnérabilité survient lorsque Microsoft Dynamics AX Enterprise Portal ne traite pas correctement des éléments JavaScript malveillants contenus dans une URL spécialement conçue, permettant ainsi au script d'être affiché sur le navigateur de l'utilisateur.

Qu'est-ce qu'une attaque par script inter-sites (cross-site scripting) ? 
Une attaque par script inter-sites (XSS - cross-site scripting) consiste à injecter un script dans une session utilisateur via un site Web. Cette vulnérabilité peut affecter les serveurs Web qui génèrent des pages HTML de façon dynamique. Si ces serveurs intègrent des entrées provenant du navigateur dans les pages dynamiques qu'ils renvoient, celles-ci peuvent être manipulées pour inclure du contenu malveillant. Un script malveillant pourra ainsi être exécuté. Les navigateurs Web peuvent perpétuer ce problème dans la mesure où ils accèdent à des sites « de confiance » et ont recours à des cookies pour maintenir un état persistant dans les sites Web qu'ils fréquentent. Une attaque par script inter-sites (cross-site scripting ou XSS) ne modifie pas le contenu du site Web. Il insère le nouveau script malveillant qui peut s'exécuter au niveau du navigateur dans le contexte associé à un serveur de confiance.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ? 
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait lire du contenu qu'il n'est pas autorisé à lire, utiliser l'identité de la victime pour effectuer des opérations sur le site Microsoft Dynamics AX Enterprise Portal en son nom, comme modifier les autorisations et supprimer du contenu, et injecter du contenu malveillant dans le navigateur de la victime.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ? 
Pour que cette vulnérabilité puisse être exploitée, un utilisateur doit cliquer sur une URL spécialement conçue qui mène l'utilisateur à un site Microsoft Dynamics AX Enterprise Portal ciblé qui affiche alors le script sur le navigateur de l'utilisateur.

Dans le cas d'une attaque par courrier électronique, un attaquant pourrait exploiter cette vulnérabilité en envoyant un message électronique contenant l'URL spécialement conçue à l'utilisateur du site Microsoft Dynamics AX Enterprise Portal ciblé et en persuadant celui-ci de cliquer sur cette URL.

Dans le cas d'une attaque Web, l'attaquant devrait héberger un site Web intégrant une URL spécialement conçue vers le site Microsoft Dynamics AX Enterprise Portal ciblé utilisé pour exploiter cette vulnérabilité. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent du contenu provenant d'utilisateurs pourraient contenir un élément malveillant susceptible d'exploiter cette vulnérabilité. Un attaquant n'aurait aucun moyen d'obliger les utilisateurs à visiter un site Web malveillant. Un attaquant devrait les convaincre de visiter ce site Web, généralement en les incitant à cliquer sur un lien dans un message électronique ou un message instantané menant à son site, puis de cliquer sur l'URL spécialement conçue.

Quels sont les systèmes les plus exposés à cette vulnérabilité ? 
Les systèmes sur lesquels les utilisateurs se connectent à un serveur Microsoft Dynamics AX 2012 Enterprise Portal, tels que les postes de travail ou les serveurs Terminal Server, sont les plus exposés.

Qu'est-ce que le filtre de script inter-sites (cross-site scripting) d'Internet Explorer 8 et Internet Explorer 9 ? 
Les attaques de script inter-sites (cross-site scripting) tentent d'exploiter des vulnérabilités dans les sites Web que vous utilisez. Les attaques de script inter-sites représentent désormais une sérieuse menace en ligne. C'est pour cette raison qu'Internet Explorer 8 et Internet Explorer 9 incluent un filtre de script inter-sites (cross-site scripting) qui peut détecter ces types d'attaques et désactiver les scripts nuisibles. Par défaut, le filtre de script inter-sites (cross-site scripting) est activé dans Internet Explorer 8 et Internet Explorer 9 pour la zone Internet.

Que fait cette mise à jour ? 
Cette mise à jour corrige la vulnérabilité en modifiant la manière dont Microsoft Dynamics AX 2012 Enterprise Portal valide et nettoie les entrées utilisateur.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été révélée publiquement ? 
Non. Microsoft a été informé de cette vulnérabilité par une divulgation de vulnérabilité coordonnée.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d'une éventuelle exploitation de cette vulnérabilité ? 
Non. Lors de la première publication de ce Bulletin, Microsoft n'avait reçu aucune information faisant état d'une utilisation de cette vulnérabilité dans le but d'attaquer des clients.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.