Bulletin de sécurité

Bulletin de sécurité Microsoft MS13-061 - Critique

Les vulnérabilités dans Microsoft Exchange Server peuvent autoriser l’exécution de code à distance (2876063)

Publication : 13 août 2013 | Mise à jour : 27 août 2013

Version : 3.0

Informations générales

Résumé

Cette mise à jour de sécurité résout trois vulnérabilités divulguées publiquement dans Microsoft Exchange Server. Les vulnérabilités existent dans les fonctionnalités d’affichage de documents WebReady et de protection contre la perte de données de Microsoft Exchange Server. Les vulnérabilités peuvent autoriser l’exécution de code à distance dans le contexte de sécurité du service de transcodage sur le serveur Exchange si un utilisateur affiche un aperçu d’un fichier spécialement conçu à l’aide d’Outlook Web App (OWA). Le service de transcodage dans Exchange utilisé pour l’affichage de documents WebReady utilise les informations d’identification du compte LocalService. La fonctionnalité Protection contre la perte de données héberge le code qui peut autoriser l’exécution de code à distance dans le contexte de sécurité du service de gestion du filtrage si un message spécialement conçu est reçu par le serveur Exchange. Le service De gestion du filtrage dans Exchange utilise les informations d’identification du compte LocalService. Le compte LocalService dispose de privilèges minimaux sur le système local et présente des informations d’identification anonymes sur le réseau.

Cette mise à jour de sécurité est évaluée critique pour toutes les éditions prises en charge de Microsoft Exchange Server 2007, Microsoft Exchange Server 2010 et Microsoft Exchange Server 2013. Pour plus d’informations, consultez la sous-section, Les logiciels affectés et non affectés, dans cette section.

La mise à jour de sécurité résout les vulnérabilités en mettant à jour les bibliothèques Oracle Outside In affectées vers une version non vulnérable. Pour plus d’informations sur les vulnérabilités, consultez la sous-section Questions fréquentes (FAQ) pour connaître l’entrée de vulnérabilités spécifique dans la section suivante, Informations sur les vulnérabilités.

Recommandation. Les clients peuvent configurer la mise à jour automatique vers case activée en ligne pour les mises à jour de Microsoft Update à l’aide du service Microsoft Update. Les clients qui ont activé et configuré la mise à jour automatique pour case activée en ligne pour les mises à jour de Microsoft Update n’auront généralement pas besoin d’effectuer d’action, car cette mise à jour de sécurité sera téléchargée et installée automatiquement. Les clients qui n’ont pas activé la mise à jour automatique doivent case activée pour les mises à jour de Microsoft Update et installer cette mise à jour manuellement. Pour plus d’informations sur les options de configuration spécifiques dans la mise à jour automatique dans les éditions prises en charge de Windows XP et Windows Server 2003, consultez l’article 294871 de la Base de connaissances Microsoft. Pour plus d’informations sur la mise à jour automatique dans les éditions prises en charge de Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2, consultez Présentation de la mise à jour automatique de Windows.

Pour les administrateurs et les installations d’entreprise ou les utilisateurs finaux qui souhaitent installer cette mise à jour de sécurité manuellement, Microsoft recommande aux clients d’appliquer la mise à jour immédiatement à l’aide du logiciel de gestion des mises à jour, ou en case activée pour les mises à jour à l’aide du service Microsoft Update.

Consultez également la section Outils de détection et de déploiement et conseils, plus loin dans ce bulletin.

Problèmes connus. Aucun

Article de la base de connaissances

Logiciels affectés et non affectés

Le logiciel suivant a été testé pour déterminer quelles versions ou éditions sont affectées. D’autres versions ou éditions dépassent leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

Logiciel affecté

** **

Logiciels non affectés 

Faq sur la mise à jour

Pourquoi ce bulletin a-t-il été révisé le 27 août 2013 ?  Microsoft a réécrit ce bulletin pour annoncer la réoffration de la mise à jour 2874216 affectant Exchange Server 2013 Cumulative Update 1 et Microsoft Exchange Server 2013 Cumulative Update 2. La mise à jour réécrite résout un problème avec la mise à jour d’origine, publiée le 13 août 2013, ce qui pourrait entraîner l’arrêt de l’indexation de courrier sur les serveurs. Les clients qui ont déjà installé la mise à jour d’origine seront réoffrés la mise à jour 2874216 et sont encouragés à l’appliquer au plus tôt.

Si j’exécute la première offre de 2874216, dois-je exécuter les étapes décrites dans Ko 2879739 après l’application de la mise à jour réexécutée ?   Cette nouvelle mise à jour réécrite résout le problème qui entraînait l’installation incorrecte de la mise à jour de la 2874216 d’origine sur les serveurs Exchange qui n’avaient pas été mis à jour précédemment. Pour restaurer toutes les fonctionnalités sur n’importe quel serveur qui a installé la première offre de 2874216 sur celui-ci, les administrateurs doivent appliquer la mise à jour 2874216 réécriture et suivre également les étapes détaillées dans l’article de la Base de connaissances 2879739.

Que se passe-t-il si une mise à jour de sécurité ou tout autre correctif de mise à jour intermédiaire est désinstallé ?  La suppression d’une mise à jour de sécurité ou d’un correctif de mise à jour intermédiaire entraîne l’échec du service d’indexation de contenu. Pour restaurer toutes les fonctionnalités, il sera nécessaire de suivre les étapes décrites dans l’article de la Base de connaissances 2879739. La possibilité de désinstaller un problème de sécurité ou de mise à jour intermédiaire sera résolue dans la mise à jour cumulative 3.

Pourquoi ce bulletin a-t-il été révisé le 14 août 2013 ? Qu’est-il arrivé aux mises à jour de sécurité 2874216 d’origine pour Microsoft Exchange Server 2013 ?  Microsoft est conscient d’un problème avec les mises à jour 2874216 affectant Exchange Server 2013 Cumulative Update 1 et Microsoft Exchange Server 2013 Cumulative Update 2, ce qui pourrait empêcher Exchange Server d’indexer les messages sur des serveurs. Microsoft a supprimé les mises à jour de Windows Update et du Centre de téléchargement et étudie le problème. Microsoft publiera de nouveaux packages une fois le problème résolu.

Les avis de mise à jour des correctifs critiques Oracle indiquent plusieurs vulnérabilités. Quelles vulnérabilités cette mise à jour adresse-t-elle ?
Cette mise à jour résout trois vulnérabilités : CVE-2013-3781 et CVE-2013-3776, comme décrit dans l’avis de mise à jour des correctifs critiques Oracle - juillet 2013 et CVE-2013-2393, comme indiqué dans Oracle Critical Path Update Advisory - Avril 2013.

Cette mise à jour contient-elle des modifications non liées à la sécurité apportées aux fonctionnalités ?
Oui, selon la version de Microsoft Exchange Server installée. Outre les modifications répertoriées dans la section Informations sur les vulnérabilités de ce bulletin, cette mise à jour inclut d’autres modifications de fonctionnalités, comme décrit dans les articles Ko associés pour les mises à jour cumulatives affectées répertoriées ci-dessous.

• Pour le correctif cumulatif 11 pour Exchange Server 2007 Service Pack 3 (2873746), consultez l’article 2873746 de la Base de connaissances Microsoft.
• Pour le correctif cumulatif 2 pour Exchange Server 2010 Service Pack 3 (2866475), consultez l’article 2866475 de la Base de connaissances Microsoft.

Il s’agit de vulnérabilités dans le code tiers, Oracle Outside In bibliothèques. Pourquoi Microsoft émet-il une mise à jour de sécurité ?
Microsoft licence une implémentation personnalisée des bibliothèques Oracle Outside In, propre au produit dans lequel le code tiers est utilisé. Microsoft émet cette mise à jour de sécurité pour vous assurer que tous les clients qui utilisent ce code tiers dans Microsoft Exchange sont protégés contre ces vulnérabilités.

J’utilise une version plus ancienne du logiciel abordé dans ce bulletin de sécurité. Que dois-je faire ?
Le logiciel concerné répertorié dans ce bulletin a été testé pour déterminer quelles versions sont affectées. D’autres versions sont passées au-delà de leur cycle de vie de support. Pour plus d’informations sur le cycle de vie des produits, consultez le site web Support Microsoft cycle de vie.

Il doit s’agir d’une priorité pour les clients qui ont des versions antérieures du logiciel à migrer vers des versions prises en charge afin d’éviter toute exposition potentielle aux vulnérabilités. Pour déterminer le cycle de vie de prise en charge de votre version logicielle, consultez Sélectionner un produit pour les informations de cycle de vie. Pour plus d’informations sur les Service Packs pour ces versions logicielles, consultez La politique de support du cycle de vie service Pack.

Les clients qui ont besoin d’un support personnalisé pour les logiciels plus anciens doivent contacter leur représentant de l’équipe de compte Microsoft, leur responsable de compte technique ou le représentant partenaire Microsoft approprié pour les options de support personnalisé. Les clients sans contrat Alliance, Premier ou Autorisé peuvent contacter leur bureau de vente Microsoft local. Pour obtenir des informations de contact, consultez le site web Microsoft Worldwide Information , sélectionnez le pays dans la liste des informations de contact, puis cliquez sur Atteindre pour afficher la liste des numéros de téléphone. Lorsque vous appelez, demandez à parler avec le directeur commercial premier support local. Pour plus d’informations, consultez le FAQ Support Microsoft politique de cycle de vie.

Informations sur la vulnérabilité

Évaluations de gravité et identificateurs de vulnérabilité

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin d’août. Pour plus d’informations, consultez Microsoft Exploitability Index.

Oracle externe contient plusieurs vulnérabilités exploitables

Deux des trois vulnérabilités traitées dans ce bulletin, CVE-2013-2393 et CVE-2013-3776, existent dans Exchange Server 2007, Exchange Server 2010 et Exchange Server 2013 via la fonctionnalité d’affichage de documents WebReady. Les vulnérabilités peuvent autoriser l’exécution de code à distance en tant que compte LocalService si un utilisateur affiche un fichier spécialement conçu via Outlook Web Access dans un navigateur. Un attaquant qui a réussi à exploiter cette vulnérabilité peut exécuter du code sur le serveur Exchange affecté, mais uniquement en tant que compte LocalService. Le compte LocalService dispose de privilèges minimaux sur l’ordinateur local et présente des informations d’identification anonymes sur le réseau.

La troisième vulnérabilité, CVE-2013-3781, existe dans Exchange Server 2013 via la fonctionnalité DLP (Data Loss Protection). Cette vulnérabilité peut entraîner le non-réponse d’Exchange Server affecté si un utilisateur affiche un fichier spécialement conçu via Outlook Web Access dans un navigateur.

Pour afficher ces vulnérabilités comme entrée standard dans la liste Des vulnérabilités et des expositions courantes, consultez CVE-2013-2393, CVE-2013-3776 et CVE-2013-3781.

Facteurs d’atténuation

L’atténuation fait référence à un paramètre, à une configuration courante ou à une meilleure pratique générale, existant dans un état par défaut, qui peut réduire la gravité de l’exploitation d’une vulnérabilité. Les facteurs d’atténuation suivants peuvent être utiles dans votre situation :

• Le service de transcodage dans Exchange utilisé pour l’affichage de documents WebReady s’exécute dans le compte LocalService. Le compte LocalService dispose de privilèges minimaux sur l’ordinateur local et présente des informations d’identification anonymes sur le réseau. Il s’agit d’un facteur d’atténuation pour CVE-2013-3776 et CVE-2013-3781.
• Le service de gestion du filtrage dans Exchange utilisé pour la protection contre la perte de données s’exécute dans le compte LocalService. Le compte LocalService dispose de privilèges minimaux sur le système local et présente des informations d’identification anonymes sur le réseau. Il s’agit d’un facteur d’atténuation pour CVE-2013-3776 et CVE-2013-3781

Solutions de contournement

La solution de contournement fait référence à un paramètre ou à une modification de configuration qui ne corrige pas la vulnérabilité sous-jacente, mais qui permet de bloquer les vecteurs d’attaque connus avant d’appliquer la mise à jour. Microsoft a testé les solutions de contournement et les états suivants dans la discussion si une solution de contournement réduit les fonctionnalités :

• Désactiver la protection contre la perte de données (Exchange Server 2013 uniquement)

  1. Connectez-vous à Exchange Management Shell en tant qu’organisation Exchange Administration istrator.

  2. Émettez l’une des commandes PowerShell suivantes en fonction de la version d’Exchange Server 2013 installée :

     Pour la mise à jour cumulative 1 d’Exchange Server 2013 :

     %SystemDrive%\Program Files\Microsoft\Exchange Server\V15\Scripts\Disable-OutsideIn.ps1

     Pour la mise à jour cumulative 2 d’Exchange Server 2013 :

     Set-TextExtractionScanSettings -EnableModules AdeModule.dll, FilterModule.dll, TextConversionModule.dll

  Impact de la solution de contournement. Les stratégies DLP qui dépendent des bibliothèques Outside In ne fonctionnent pas. Le script fourni pour la mise à jour cumulative 1 entraîne le redémarrage des services de gestion du transport et du filtrage.

  Comment faire annuler la solution de contournement ?

  1. Connectez-vous à Exchange Management Shell en tant qu’organisation Exchange Administration istrator.

  2. Émettez l’une des commandes PowerShell suivantes, selon la version d’Exchange Server 2013 installée :

     Pour la mise à jour cumulative 1 d’Exchange Server 2013 :

     %SystemDrive%\Program Files\Microsoft\Exchange Server\V15\Scripts\Enable-OutsideIn.ps1

     Pour la mise à jour cumulative 2 d’Exchange Server 2013 :

     Set-TextExtractionScanSettings -EnableModules AdeModule.dll, FilterModule.dll, TextConversionModule.dll, OutsideInModule.dll

• Désactiver la vue de document WebReady

  1. Connectez-vous à Exchange Management Shell en tant qu’organisation Exchange Administration istrator.

  2. Émettez la commande PowerShell suivante :

     Get-OwaVirtualDirectory | where {$_.OwaVersion -eq 'Exchange2007' -or $_.OwaVersion -eq 'Exchange2010' -or 
     $_.OwaVersion -eq 'Exchange2013'} | Set-OwaVirtualDirectory - 
     WebReadyDocumentViewingOnPublicComputersEnabled:$False - 
     WebReadyDocumentViewingOnPrivateComputersEnabled:$False
     

  Impact de la solution de contournement. Les utilisateurs OWA peuvent ne pas être en mesure d’afficher un aperçu du contenu des pièces jointes de courrier électronique.

  Comment faire annuler la solution de contournement ?

  1. Connectez-vous à Exchange Management Shell en tant qu’organisation Exchange Administration istrator.

  2. Émettez la commande PowerShell suivante :

     Get-OwaVirtualDirectory | where {$_.OwaVersion -eq 'Exchange2007' -or $_.OwaVersion -eq 'Exchange2010' -or 
     $_.OwaVersion -eq 'Exchange2013'} | Set-OwaVirtualDirectory -
     WebReadyDocumentViewingOnPublicComputersEnabled:$True -
     WebReadyDocumentViewingOnPrivateComputersEnabled:$True
     

  Notez que les étapes ci-dessus supposent que l’Administration istrateur Exchange avait précédemment autorisé l’affichage des documents WebReady sur les connexions publiques et privées à OWA. La valeur $True ou $False appropriée doit être utilisée pour définir le comportement souhaité en fonction de l’ouverture de session de l’utilisateur.

FAQ

Quelle est l’étendue des vulnérabilités ? 
Il s’agit de vulnérabilités d’exécution de code à distance.

Quelles sont les causes des vulnérabilités ? 
Les vulnérabilités sont provoquées lorsque les bibliothèques Oracle Outside In analysent des fichiers spécialement conçus.

Qu’est-ce que les bibliothèques Oracle Outside In ? 
Dans Exchange Server 2007, Exchange Server 2010 et Exchange Server 2013, les utilisateurs d’Outlook Web App (OWA) sont fournis avec une fonctionnalité appelée Affichage de documents WebReady qui permet aux utilisateurs d’afficher certaines pièces jointes en tant que pages web au lieu de s’appuyer sur des applications locales pour les ouvrir ou les afficher. Les bibliothèques Oracle Outside In sont utilisées par le processus de conversion sur le serveur principal pour prendre en charge la fonctionnalité WebReady. Microsoft licence ces bibliothèques à partir d’Oracle.

Dans Exchange Server 2013, exchange Data Loss Prevention (DLP) tire parti des bibliothèques Oracle Outside In dans le cadre de ses fonctionnalités d’analyse de fichiers.

Qu’est-ce que l’affichage de documents WebReady ? 
L’affichage de documents WebReady permet aux utilisateurs d’afficher certaines pièces jointes en tant que page web. Exchange 2007, Exchange 2010 et Exchange 2013 effectuent la conversion. Par conséquent, l’utilisateur n’a pas besoin d’un autre navigateur web pour afficher les pièces jointes.

Qu’est-ce que la protection contre la perte de données (DLP) ?
La protection contre la perte de données (DLP) est une fonctionnalité d’Exchange 2013 qui permet aux clients d’identifier, de surveiller et de protéger les données sensibles via une analyse approfondie du contenu.

Qu’est-ce qu’un attaquant peut utiliser ces vulnérabilités pour faire ? 
Un attaquant qui a réussi à exploiter ces vulnérabilités peut exécuter du code arbitraire en tant que LocalService sur le serveur Exchange concerné. Un attaquant peut ensuite installer des programmes ; afficher, modifier ou supprimer des données ; ou effectuez toute autre action que le processus serveur a accès à faire.

Comment un attaquant pourrait-il exploiter ces vulnérabilités ? 
Un attaquant peut envoyer un e-mail contenant un fichier spécialement conçu à un utilisateur sur un serveur Exchange affecté.

Quels systèmes sont principalement exposés aux vulnérabilités ? 
Les systèmes exécutant des versions affectées d’Exchange Server sont principalement exposés à ces vulnérabilités.

Que fait la mise à jour ? 
La mise à jour résout les vulnérabilités en mettant à jour les bibliothèques Oracle Outside In affectées vers une version non vulnérable.

Quand ce bulletin de sécurité a été émis, ces vulnérabilités ont-elles été divulguées publiquement ? 
Oui. Ces vulnérabilités ont été divulguées publiquement. Ils ont été affectés aux numéros d’exposition et de vulnérabilité courants suivants :

• CVE-2013-2393
• CVE-2013-3776
• CVE-2013-3781

Quand ce bulletin de sécurité a été émis, Microsoft a-t-il reçu des rapports indiquant que ces vulnérabilités étaient exploitées ? 
Non. Microsoft n’avait reçu aucune information pour indiquer que ces vulnérabilités avaient été utilisées publiquement pour attaquer les clients lorsque ce bulletin de sécurité a été émis à l’origine.

Mettre à jour les informations

Outils et conseils de détection et de déploiement

Plusieurs ressources sont disponibles pour aider les administrateurs à déployer des mises à jour de sécurité. 

• Microsoft Baseline Security Analyzer (Mo SA) permet aux administrateurs d’analyser les systèmes locaux et distants pour détecter les mises à jour de sécurité manquantes et les configurations incorrectes de sécurité courantes. 
• Windows Server Update Services (WSUS), Systems Management Server (SMS) et System Center Configuration Manager (SCCM) aident les administrateurs à distribuer les mises à jour de sécurité. 
• Les composants de l’évaluateur de compatibilité de mise à jour inclus avec la compatibilité des applications Shared Computer Toolkit facilitent le test et la validation des mises à jour Windows sur les applications installées. 

Pour plus d’informations sur ces outils et d’autres outils disponibles, consultez Outils de sécurité pour les professionnels de l’informatique. 

Déploiement des mises à jour de sécurité

Logiciel affecté

Pour plus d’informations sur la mise à jour de sécurité spécifique pour votre logiciel concerné, cliquez sur le lien approprié :

Microsoft Exchange Server 2007 Service Pack 3

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité pour ce logiciel.

Microsoft Exchange Server 2010 Service Pack 2

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité pour ce logiciel.

Microsoft Exchange Server 2010 Service Pack 3

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité pour ce logiciel.

Microsoft Exchange Server 2013

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité pour ce logiciel.

Autres informations

Programme Microsoft Active Protections (MAPP)

Pour améliorer les protections de sécurité pour les clients, Microsoft fournit des informations sur les vulnérabilités aux principaux fournisseurs de logiciels de sécurité avant chaque version mensuelle de la mise à jour de sécurité. Les fournisseurs de logiciels de sécurité peuvent ensuite utiliser ces informations de vulnérabilité pour fournir des protections mises à jour aux clients via leurs logiciels ou appareils de sécurité, tels que les systèmes antivirus, les systèmes de détection d’intrusion basés sur le réseau ou les systèmes de prévention des intrusions basés sur l’hôte. Pour déterminer si les protections actives sont disponibles auprès des fournisseurs de logiciels de sécurité, accédez aux sites web de protection actifs fournis par les partenaires du programme, répertoriés dans les partenaires microsoft Active Protections Program (MAPP).

Support

Comment obtenir de l’aide et de la prise en charge de cette mise à jour de sécurité

• Aide sur l’installation des mises à jour : Prise en charge de Microsoft Update
• Solutions de sécurité pour les professionnels de l’informatique : Résolution des problèmes et support de techNet Security
• Aider à protéger votre ordinateur exécutant Windows contre les virus et les programmes malveillants : Solution antivirus et Security Center
• Support local selon votre pays : Support international

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (13 août 2013) : Bulletin publié.
• V2.0 (14 août 2013) : nouveau bulletin pour supprimer les mises à jour 2874216 pour Microsoft Exchange Server 2013 Cumulative Update 1 et Microsoft Exchange Server 2013 Cumulative Update 2 pour résoudre un problème avec les mises à jour. Pour plus d’informations, consultez le FORUM aux questions sur la mise à jour.
• V3.0 (27 août 2013) : nouveau bulletin pour annoncer la réoffration de la mise à jour 2874216 pour Microsoft Exchange Server 2013 Cumulative Update 1 et Microsoft Exchange Server 2013 Cumulative Update 2013. Pour plus d’informations, consultez le FORUM aux questions sur la mise à jour.

Construit à 2014-04-18T13 :49 :36Z-07 :00