Avis de sécurité Microsoft (2736233)

Cet Avis s'applique-t- il aux installations Server Core ? 
Cet Avis ne concerne pas les éditions en cours de support de Windows Server 2008 ni Windows Server 2008 R2 lorsqu'elles ont été installées à l'aide de l'option d'installation Server Core. Pour plus d'informations sur cette option d'installation, consultez les articles TechNet consacrés à la gestion d'une installation Server Core (en anglais) et à l'entretien d'une installation Server Core (en anglais).

Cette mise à jour remplace t-elle la Mise à jour de sécurité cumulative pour les kill bits ActiveX (2618451) ? 
Non. En raison des mises à jour automatiques, cette mise à jour ne remplace pas la Mise à jour de sécurité cumulative pour les kill bits ActiveX (2618451) décrite dans le Bulletin de sécurité Microsoft MS11-090. Les mises à jour automatiques proposent la mise à jour MS11-090 même si cette mise à jour (2736233) a été installée. Toutefois, nos clients qui ont installé cette mise à jour (2695962) n'ont pas à installer la mise à jour MS11-090 pour bénéficier des kill bits qu'elle fournit.

Quels kill bits ActiveX sont contenus dans cet ensemble de mises à jour pour les kill bits ActiveX ? 
Cet ensemble de mises à jour pour les kill bits ActiveX contient de nouveaux kill bits et tous les kill bits publiés précédemment dans les Bulletins MS08-023 (Mise à jour de sécurité concernant les kill bits ActiveX), MS08-032 (Mise à jour de sécurité cumulative pour les kill bits ActiveX), MS09-032, (Mise à jour de sécurité cumulative pour les kill bits ActiveX), MS09-055 (Mise à jour de sécurité cumulative pour les kill bits ActiveX), MS10-008 (Mise à jour de sécurité cumulative pour les kill bits ActiveX), MS10-034 (Mise à jour de sécurité cumulative pour les kill bits ActiveX), MS11-027 (Mise à jour de sécurité cumulative pour les kill bits ActiveX), MS11-090 (Mise à jour de sécurité cumulative pour les kill bits ActiveX), ainsi que les Avis intitulés « Ensemble de mises à jour pour les kill bits ActiveX », c'est-à-dire les Avis de sécurité Microsoft 953839, 956391, 960715, 969898, 2562937, 2647518 et 2695962.

Pourquoi Microsoft publie-t-il cet Ensemble de mises à jour pour les kill bits ActiveX dans un Avis de sécurité alors que les précédentes mises à jour de kill bits ont été publiées dans un Bulletin de sécurité ? 
Microsoft publie cet Ensemble de mises à jour pour les kill bits ActiveX avec un Avis parce que ceux-ci ne concernent pas les logiciels Microsoft.

Qu'est-ce qu'un kill bit ? 
Il existe une fonctionnalité de sécurité dans Microsoft Internet Explorer qui empêche un contrôle ActiveX d'être chargé par le moteur de rendu HTML d'Internet Explorer. Cette action est effectuée par la création d'un paramètre de Registre ; elle est appelée « définition du kill bit ». Une fois le kill bit défini, il est impossible de charger le contrôle concerné, même lorsqu'il est complètement installé. La définition du kill bit garantit que même si un composant vulnérable est introduit ou réintroduit dans un système, il reste inerte et inoffensif.

Pour plus d'informations sur les kill bits, consultez l'Article 240797 de la Base de connaissances de Microsoft. Comment faire pour empêcher l'exécution d'un contrôle ActiveX dans Internet Explorer.

Pourquoi cette mise à jour ne contient-elle pas de fichiers binaires ? 
Cette mise à jour apporte des modifications au Registre uniquement, afin d'empêcher que les contrôles ne soient instanciés dans Internet Explorer.

Dois-je installer cette mise à jour si le composant affecté n'est pas installé sur mon système ou si je n'utilise pas la plate-forme concernée ? 
Oui. L'installation de cette mise à jour empêchera les contrôles vulnérables de s'exécuter dans Internet Explorer.

Cette mise à jour contient-elle des kill bits non spécifiques à Microsoft ? 
Oui. Des sociétés ont demandé à Microsoft de définir le kill bit des contrôles qu'elles possèdent et qui se sont avérés vulnérables. Consultez la sous-section « Kill bits tiers », dans la section « Informations par vulnérabilité ».

Cette mise à jour contient-elle des kill bits qui ont été fournis précédemment via une mise à jour de sécurité pour Internet Explorer ? 
Non, cette mise à jour ne contient aucun kill bit fourni précédemment via une mise à jour de sécurité pour Internet Explorer. Nous vous recommandons d'installer la dernière mise à jour de sécurité cumulative pour Internet Explorer.

Pourquoi cet Avis ne possède-t-il pas d'indice de gravité associé ? 
Cette mise à jour contient de nouveaux kill bits pour des contrôles tiers. Microsoft ne détermine pas d'indice de gravité pour des contrôles tiers vulnérables.

Consultez l'Article de la Base de connaissances Microsoft relatif à cet Avis.

Microsoft encourage ses clients à installer cette mise à jour. Les clients souhaitant en savoir plus sur cette mise à jour peuvent consulter l'Article 2736233 de la Base de connaissances Microsoft.

Cette mise à jour comprend des kill bits permettant d'empêcher l'exécution des contrôles ActiveX suivants dans Internet Explorer :

• Cisco Secure Desktop. Les identificateurs de classe suivants sont liés à une demande émise par Cisco visant à définir un kill bit pour un contrôle ActiveX vulnérable. Pour plus d'informations quant aux problèmes de sécurité dans le contrôle ActiveX de Cisco Secure Desktop, veuillez consulter l'avis de sécurité de Cisco consacré aux vulnérabilités présentes dans Cisco AnyConnect Secure Mobility Client (en anglais). Les identificateurs de classe (CLSID) de ce contrôle ActiveX sont les suivants :
  • {705ec6d4-b138-4079-a307-ef13e4889a82}
  • {f8fc1530-0608-11df-2008-0800200c9a66}
  • {e34f52fe-7769-46ce-8f8b-5e8abad2e9fc}
• Cisco Hostscan. Les identificateurs de classe suivants sont liés à une demande émise par Cisco visant à définir un kill bit pour un contrôle ActiveX vulnérable. Pour plus d'informations quant aux problèmes de sécurité dans le contrôle ActiveX de Cisco Hostscan, veuillez consulter l'avis de sécurité de Cisco consacré aux vulnérabilités présentes dans Cisco AnyConnect Secure Mobility Client (en anglais). Les identificateurs de classe (CLSID) de ce contrôle ActiveX sont les suivants :
  • {f8fc1530-0608-11df-2008-0800200c9a66}
  • {e34f52fe-7769-46ce-8f8b-5e8abad2e9fc}
• Cisco AnyConnect Secure Mobility Client. Les identificateurs de classe suivants sont liés à une demande émise par Cisco visant à définir un kill bit pour un contrôle ActiveX vulnérable. Pour plus d'informations quant aux problèmes de sécurité dans le contrôle ActiveX de Cisco AnyConnect Secure Mobility Client, veuillez consulter l'avis de sécurité de Cisco consacré aux vulnérabilités présentes dans Cisco AnyConnect Secure Mobility Client (en anglais). Les identificateurs de classe (CLSID) de ce contrôle ActiveX sont les suivants :
  • {55963676-2f5e-4baf-ac28-cf26aa587566}
  • {cc679cb8-dc4b-458b-b817-d447b3b6ac31}