Bulletin de sécurité Microsoft MS15-121 - Important
Mise à jour de sécurité pour Schannel to Address Spoofing (3081320)
Publication : 10 novembre 2015 | Mise à jour : 7 avril 2016
Version : 1.1
Résumé
Cette mise à jour de sécurité résout une vulnérabilité dans Microsoft Windows. La vulnérabilité peut autoriser l’usurpation si un attaquant effectue une attaque de type man-in-the-middle (MiTM) entre un client et un serveur légitime.
Cette mise à jour de sécurité est évaluée comme importante pour toutes les versions prises en charge de Microsoft Windows, à l’exception de Windows 10. Pour plus d’informations, consultez la section Logiciels affectés.
La mise à jour de sécurité résout la vulnérabilité en ajoutant la prise en charge de la liaison de secret principal étendu à toutes les versions prises en charge de TLS (Transport Layer Security). Pour plus d’informations sur la vulnérabilité, consultez la section Informations sur les vulnérabilités.
Pour plus d’informations sur cette mise à jour, consultez l’article 3081320 de la Base de connaissances Microsoft.
Logiciel affecté
Les versions ou éditions logicielles suivantes sont affectées. Les versions ou éditions qui ne sont pas répertoriées sont passées par leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.
| Système d’exploitation | Impact maximal sur la sécurité | Évaluation de gravité agrégée | Mises à jour remplacé* |
|---|---|---|---|
| Windows Vista | |||
| Windows Vista Service Pack 2 (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows Vista x64 Edition Service Pack 2 (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows Server 2008 | |||
| Windows Server 2008 pour systèmes 32 bits Service Pack 2 (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows Server 2008 pour systèmes x64 Service Pack 2 (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows Server 2008 pour les systèmes Itanium Service Pack 2 (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows 7 | |||
| Windows 7 pour systèmes 32 bits Service Pack 1[1]\ (3081320) | Usurpation | Important | 3067505 dans MS15-076 |
| Windows 7 pour systèmes x64 Service Pack 1[1]\ (3081320) | Usurpation | Important | 3067505 dans MS15-076 |
| Windows Server 2008 R2 | |||
| Windows Server 2008 R2 pour systèmes x64 Service Pack 1[1]\ (3081320) | Usurpation | Important | 3067505 dans MS15-076 |
| Windows Server 2008 R2 pour les systèmes Itanium Service Pack 1[1]\ (3081320) | Usurpation | Important | 3067505 dans MS15-076 |
| Windows 8 et Windows 8.1 | |||
| Windows 8 pour systèmes 32 bits[2]\ (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows 8 pour systèmes x64[2]\ (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows 8.1 pour systèmes 32 bits \ (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows 8.1 pour systèmes x64 \ (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows Server 2012 et Windows Server 2012 R2 | |||
| Windows Server 2012[2]\ (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows Server 2012 R2 \ (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows RT et Windows RT 8.1 | |||
| Windows RT[3](3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows RT 8.1[3](3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Option d’installation server Core | |||
| Windows Server 2008 pour systèmes 32 bits Service Pack 2 (installation Server Core) \ (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows Server 2008 pour systèmes x64 Service Pack 2 (installation Server Core) \ (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (installation server Core)[1]\ (3081320) | Usurpation | Important | 3067505 dans MS15-076 |
| Windows Server 2012 (installation minimale)[2]\ (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
| Windows Server 2012 R2 (installation minimale) \ (3081320) | Usurpation | Important | 3061518 dans MS15-055 |
[1]Notez que les 3101746 de mise à jour dans MS15-115 et les 3101246 de mise à jour dans MS15-122 sont mises à jour simultanément avec les 3081320 de mise à jour dans ce bulletin, MS15-121. Les clients qui ont l’intention d’installer les trois mises à jour manuellement sur Windows 7 Service Pack 1 ou Windows Server 2008 R2 Service Pack 1 doivent installer les mises à jour dans l’ordre suivant : 3101246 premier, 3081320 seconde et 3101746 troisième (cela est pris en charge automatiquement pour les clients avec mise à jour automatique activée). Les clients peuvent également installer uniquement 3101746, qui contient les mises à jour de 3101246 et de 3081320. Pour plus d’informations, consultez la section Problèmes connus de l’article de la Base de connaissances Microsoft 3105256.
[2]Notez que les 3101746 de mise à jour dans MS15-115 et les 3101246 de mise à jour dans MS15-122 sont mises à jour simultanément avec les 3081320 de mise à jour dans ce bulletin, MS15-121. Les clients qui ont l’intention d’installer les trois mises à jour manuellement sur Windows 8 ou Windows Server 2012 doivent installer les mises à jour dans l’ordre suivant : 3101246 d’abord, 3101746 seconde et 3081320 troisième (cela est pris en charge automatiquement pour les clients avec mise à jour automatique activée). Les clients peuvent également installer uniquement 3081320, qui contient les mises à jour des 3101246 et des 3101746. Pour plus d’informations, consultez la section Problèmes connus de l’article de la Base de connaissances Microsoft 3105256.
[3]Cette mise à jour est disponible uniquement via Windows Update.
*La colonne Mises à jour remplacée affiche uniquement la dernière mise à jour dans n’importe quelle chaîne de mises à jour remplacées. Pour obtenir la liste complète des mises à jour remplacées, accédez au catalogue Microsoft Update, recherchez le numéro de mise à jour Ko, puis affichez les détails de la mise à jour (les informations remplacées sont fournies sous l’onglet Détails du package).
Évaluations de gravité et identificateurs de vulnérabilité
Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin de novembre.
| Évaluation de la gravité des vulnérabilités et impact maximal sur la sécurité par les logiciels affectés | ||
|---|---|---|
| Logiciel affecté | Vulnérabilité de liaison triple TLS Schannel - CVE-2015-6112 | Évaluation de gravité agrégée |
| Windows Vista | ||
| Windows Vista Service Pack 2 (3081320) | Usurpation d’identité importante | Important |
| Windows Vista x64 Edition Service Pack 2 (3081320) | Usurpation d’identité importante | Important |
| Windows Server 2008 | ||
| Windows Server 2008 pour systèmes 32 bits Service Pack 2 (3081320) | Usurpation d’identité importante | Important |
| Windows Server 2008 pour systèmes x64 Service Pack 2 (3081320) | Usurpation d’identité importante | Important |
| Windows Server 2008 pour les systèmes Itanium Service Pack 2 (3081320) | Usurpation d’identité importante | Important |
| Windows 7 | ||
| Windows 7 pour systèmes 32 bits Service Pack 1 (3081320) | Usurpation d’identité importante | Important |
| Windows 7 pour systèmes x64 Service Pack 1 (3081320) | Usurpation d’identité importante | Important |
| Windows Server 2008 R2 | ||
| Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (3081320) | Usurpation d’identité importante | Important |
| Windows Server 2008 R2 pour les systèmes Itanium Service Pack 1 (3081320) | Usurpation d’identité importante | Important |
| Windows 8 et Windows 8.1 | ||
| Windows 8 pour systèmes 32 bits (3081320) | Usurpation d’identité importante | Important |
| Windows 8 pour systèmes x64 (3081320) | Usurpation d’identité importante | Important |
| Windows 8.1 pour les systèmes 32 bits (3081320) | Usurpation d’identité importante | Important |
| Windows 8.1 pour les systèmes x64 (3081320) | Usurpation d’identité importante | Important |
| Windows Server 2012 et Windows Server 2012 R2 | ||
| Windows Server 2012 (3081320) | Usurpation d’identité importante | Important |
| Windows Server 2012 R2 (3081320) | Usurpation d’identité importante | Important |
| Windows RT et Windows RT 8.1 | ||
| Windows RT (3081320) | Usurpation d’identité importante | Important |
| Windows RT 8.1 (3081320) | Usurpation d’identité importante | Important |
| Option d’installation server Core | ||
| Windows Server 2008 pour systèmes 32 bits Service Pack 2 (installation Server Core) (3081320) | Usurpation d’identité importante | Important |
| Windows Server 2008 pour systèmes x64 Service Pack 2 (installation Server Core) (3081320) | Usurpation d’identité importante | Important |
| Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (installation server Core) (3081320) | Usurpation d’identité importante | Important |
| Windows Server 2012 (installation minimale) (3081320) | Usurpation d’identité importante | Important |
| Windows Server 2012 R2 (installation minimale) (3081320) | Usurpation d’identité importante | Important |
Informations sur la vulnérabilité
Vulnérabilité de liaison triple TLS Schannel - CVE-2015-6112
Une vulnérabilité d’usurpation existe dans Microsoft Windows, qui est due à une faiblesse dans toutes les versions prises en charge du protocole TLS . Un attaquant qui a réussi à exploiter cette vulnérabilité peut emprunter l’identité d’une victime sur tout autre serveur qui utilise les mêmes informations d’identification que celles utilisées entre le client et le serveur où l’attaque est lancée.
Pour exploiter la vulnérabilité, un attaquant doit d’abord effectuer une attaque miTM (man-in-the-middle) entre le client et un serveur légitime. La mise à jour résout la vulnérabilité en ajoutant la prise en charge de la liaison de secret principal étendu à toutes les versions prises en charge de TLS.
Cette vulnérabilité a été divulguée publiquement. Il a été affecté à la vulnérabilité commune et au numéro d’exposition CVE-2015-6112. Au moment où ce bulletin de sécurité a été émis à l’origine, Microsoft n’a pas conscience de toute attaque qui tente d’exploiter cette vulnérabilité.
Facteurs d’atténuation
Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.
Solutions de contournement
Microsoft n’a identifié aucune solution de contournement pour cette vulnérabilité.
Déploiement des mises à jour de sécurité
Pour plus d’informations sur le déploiement des mises à jour de sécurité, consultez l’article de la Base de connaissances Microsoft référencé dans le résumé exécutif.
Remerciements
Microsoft reconnaît les efforts de ceux de la communauté de sécurité qui nous aident à protéger les clients par le biais d’une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez accusés de réception.
Exclusion de responsabilité
Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.
Révisions
- V1.0 (10 novembre 2015) : Bulletin publié.
- V1.1 (7 avril 2016) : mise à jour des notes de bas de page suivant le tableau Logiciel affecté pour clarifier davantage l’ordre d’installation des mises à jour de sécurité 3101746 dans MS15-115, 3081320 dans MS15-121 et 3101246 dans MS15-122. Il s’agit d’une modification d’information uniquement. Les clients qui ont déjà installé la mise à jour n’ont pas besoin d’effectuer d’action.
Page générée 2016-04-07 10 :16-07 :00.