Bulletin de sécurité Microsoft MS15-118 - Important

Mise à jour de sécurité pour .NET Framework pour résoudre l’élévation de privilèges (3104507)

Publication : 10 novembre 2015 | Mise à jour : 9 février 2016

Version : 2.0

Résumé

Cette mise à jour de sécurité résout les vulnérabilités dans Microsoft .NET Framework. Les vulnérabilités les plus graves peuvent permettre l’élévation de privilèges si un attaquant convainc un utilisateur d’accéder à un site web compromis ou d’ouvrir un lien dans un e-mail spécialement conçu pour injecter du code côté client dans le navigateur de l’utilisateur.

Cette mise à jour de sécurité est évaluée comme importante pour Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.5, Microsoft .NET Framework 3.5.1, Microsoft .NET Framework 4, Microsoft .NET Framework 4.5, Microsoft .NET Framework 4.5.1, Microsoft .NET Framework 4.5.2 et Microsoft .NET Framework 4.6 sur les versions affectées de Microsoft Windows. Pour plus d’informations, consultez la section Logiciels affectés.

Les mises à jour de sécurité résolvent les vulnérabilités en modifiant la façon dont ASP.NET valide la valeur d’une requête HTTP, en corrigeant la façon dont .NET Framework analyse certains fichiers XML spécialement conçus et en aidant à s’assurer qu’un composant .NET implémente correctement la fonctionnalité de sécurité ASLR. Pour plus d’informations sur la vulnérabilité, consultez la sous-section Questions fréquentes (FAQ) sur la vulnérabilité spécifique.

Pour plus d’informations sur cette mise à jour, consultez l’article 3104507 de la Base de connaissances Microsoft.

Évaluations de gravité des logiciels et des vulnérabilités affectés

Les versions ou éditions logicielles suivantes sont affectées. Les versions ou éditions qui ne sont pas répertoriées sont passées par leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin de novembre.

^[1]. Profil client NET Framework 4 et .NET Framework 4 affecté.

^[2]Cette mise à jour est disponible uniquement via Windows Update .

Notez que Windows Server Technical Preview 3 est affecté. Les clients exécutant ce système d’exploitation sont encouragés à appliquer la mise à jour, disponible via Windows Update.

Faq sur la mise à jour

Comment faire déterminer quelle version de Microsoft .NET Framework est installée ?
Vous pouvez installer et exécuter plusieurs versions de .NET Framework sur un système et installer les versions dans n’importe quel ordre. Pour plus d’informations, consultez l’article 318785 de la Base de connaissances Microsoft.

Quelle est la différence entre le profil client .NET Framework 4 et .NET Framework 4 ?
Les packages redistribuables .NET Framework version 4 sont disponibles dans deux profils : .NET Framework 4 et .NET Framework 4 Client Profile. Le profil client .NET Framework 4 est un sous-ensemble du profil .NET Framework 4 optimisé pour les applications clientes. Il fournit des fonctionnalités pour la plupart des applications clientes, notamment windows Presentation Foundation (WPF), Windows Forms, Windows Communication Foundation (WCF) et les fonctionnalités ClickOnce. Cela permet un déploiement plus rapide et un package d’installation plus petit pour les applications qui ciblent le profil client .NET Framework 4. Pour plus d’informations, consultez l’article MSDN, .NET Framework Client Profile. 

Il existe plusieurs packages de mise à jour disponibles pour certains des logiciels affectés. Dois-je installer toutes les mises à jour répertoriées dans la table Software affectée pour le logiciel ?
Oui. Les clients doivent appliquer toutes les mises à jour proposées pour le logiciel installé sur leurs systèmes.

Dois-je installer ces mises à jour de sécurité dans une séquence particulière ?
Non. Plusieurs mises à jour pour un système donné peuvent être appliquées dans n’importe quelle séquence.

Informations sur la vulnérabilité

Vulnérabilité de divulgation d’informations .NET - CVE-2015-6096

Une vulnérabilité de divulgation d’informations existe dans l’analyse DTD .NET Framework de certains fichiers XML spécialement conçus. Un attaquant qui a réussi à exploiter cette vulnérabilité peut accéder en lecture aux fichiers locaux sur le système cible.

Pour exploiter cette vulnérabilité, un attaquant doit convaincre un utilisateur de télécharger et d’ouvrir un fichier d’application spécialement conçu. Toutefois, l’attaquant n’aurait aucun moyen de forcer un utilisateur à télécharger le fichier. La mise à jour résout la vulnérabilité en corrigeant la façon dont .NET Framework analyse certains fichiers XML spécialement conçus.

Microsoft a reçu des informations sur la vulnérabilité par le biais d’une divulgation coordonnée des vulnérabilités. Au moment où ce bulletin de sécurité a été émis à l’origine, Microsoft n’a pas conscience de toute attaque qui tente d’exploiter cette vulnérabilité.

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour cette vulnérabilité.

Vulnérabilité d’élévation de privilèges .NET - CVE-2015-6099

Une vulnérabilité d’élévation de privilèges existe quand ASP.NET valide incorrectement les valeurs dans les requêtes HTTP, exposant les utilisateurs à une attaque potentielle de script intersites (XSS). Un attaquant qui a réussi à exploiter la vulnérabilité peut tirer parti d’un site web vulnérable pour injecter un script côté client dans le navigateur d’un utilisateur et, en fin de compte, modifier ou usurper du contenu, mener des activités de hameçonnage, divulguer des informations ou effectuer une action sur le site web vulnérable que l’utilisateur cible a l’autorisation d’effectuer.

Pour exploiter cette vulnérabilité, l’interaction utilisateur est requise. Dans un scénario de navigation web, un utilisateur doit accéder à un site web compromis. Dans un scénario d’attaque par e-mail, un attaquant aurait à convaincre un utilisateur connecté à un serveur vulnérable de cliquer sur un lien spécialement conçu dans un e-mail. La mise à jour résout la vulnérabilité en modifiant la façon dont ASP.NET valide la valeur d’une requête HTTP.

Microsoft a reçu des informations sur la vulnérabilité par le biais d’une divulgation coordonnée des vulnérabilités. Au moment où ce bulletin de sécurité a été émis à l’origine, Microsoft n’a pas conscience de toute attaque qui tente d’exploiter cette vulnérabilité.

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour cette vulnérabilité.

Les solutions de contournement suivantes peuvent être utiles dans votre situation :

• Supprimer la clé requestPathInvalidCharacters de web.config

  Pour contourner ce problème, les administrateurs peuvent supprimer le <paramètre httpRuntime requestPathInvalidCharacters=" » /> non-default de web.config, ou au moins inclure « : » dans le paramètre requestPathInvalidCharacters.

  Comment annuler la solution de contournement :

  Restaurez le httpRuntime requestPathInvalidCharacters=" » /> line précédemment supprimé<.

Contournement ASLR .NET - CVE-2015-6115

Un contournement des fonctionnalités de sécurité existe dans un composant .NET Framework qui n’implémente pas correctement la fonctionnalité de sécurité ASLR (Address Space Layout Randomization), qui protège les utilisateurs contre une large classe de vulnérabilités. Le contournement ASLR peut permettre à un attaquant de contourner la fonctionnalité de sécurité, puis de charger du code malveillant supplémentaire dans une tentative d’exploitation d’une autre vulnérabilité. La fonctionnalité de sécurité contourne elle-même n’autorise pas l’exécution arbitraire du code. Toutefois, un attaquant peut utiliser ce contournement ASLR conjointement avec une autre vulnérabilité, telle qu’une vulnérabilité d’exécution de code distant, pour exécuter du code arbitraire.

Pour exploiter l’ASLR, un attaquant peut héberger un site web spécialement conçu (ou tirer parti de sites web ou de sites web compromis qui acceptent ou hébergent du contenu fourni par l’utilisateur potentiellement compromis). Un attaquant n’aurait aucun moyen de forcer les utilisateurs à visiter un site web spécialement conçu. Au lieu de cela, un attaquant aurait à convaincre un utilisateur de le faire. Par exemple, un attaquant peut tromper un utilisateur en cliquant sur un lien qui amène l’utilisateur au site compromis. Si l’utilisateur utilise un navigateur web capable d’instancier des composants COM, tels qu’Internet Explorer, le composant .NET Framework affecté peut être chargé pour contourner la fonctionnalité de sécurité ASLR. Un attaquant peut ensuite tirer parti du contournement ASLR pour exploiter une vulnérabilité supplémentaire, généralement une vulnérabilité d’exécution de code à distance. Par exemple, une vulnérabilité d’exécution de code à distance qui est normalement bloquée par ASLR peut être exploitée après un contournement ASLR réussi. La mise à jour traite le contournement ASLR en aidant à s’assurer que le composant .NET implémente correctement la fonctionnalité de sécurité ASLR.

Microsoft a reçu des informations sur la vulnérabilité par le biais d’une divulgation coordonnée des vulnérabilités. Au moment où ce bulletin de sécurité a été émis à l’origine, Microsoft n’a pas conscience de toute attaque qui tente d’exploiter cette vulnérabilité.

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour cette vulnérabilité.

Déploiement des mises à jour de sécurité

Pour plus d’informations sur le déploiement des mises à jour de sécurité, consultez l’article de la Base de connaissances Microsoft référencé dans le résumé exécutif.

Remerciements

Microsoft reconnaît les efforts de ceux de la communauté de sécurité qui nous aident à protéger les clients par le biais d’une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez accusés de réception.  

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (10 novembre 2015) : Bulletin publié.
• V2.0 (9 février, 2016 : Bulletin révisé pour annoncer la nouvelle version de la mise à jour 3098785 pour résoudre les problèmes connus, abordés dans l’article de la Base de connaissances Microsoft 3118750, que les clients qui exécutent Windows 8.1, Windows RT ou Windows Server 2012 R2 peuvent avoir connu une expérience après l’installation de .NET Framework 4.6 sur un ordinateur qui dispose déjà d’une version entièrement mise à jour de .NET Framework 4.5.x. Microsoft recommande aux clients d’analyser les nouvelles mises à jour à télécharger et d’installer la nouvelle mise à jour 3098785. Pour plus d’informations, consultez l’article de la Base de connaissances Microsoft 3118750.

Page générée 2016-02-16 09 :35-08 :00.