Bulletin de sécurité Microsoft MS14-067 - Critique

La vulnérabilité dans XML Core Services peut autoriser l’exécution de code à distance (2993958)

Publication : 11 novembre 2014

Version : 1.0

Résumé

Cette mise à jour de sécurité résout une vulnérabilité signalée en privé dans Microsoft Windows. La vulnérabilité peut autoriser l’exécution de code à distance si un utilisateur connecté visite un site web spécialement conçu pour appeler Microsoft XML Core Services® (MSXML) via Internet Explorer. Dans tous les cas, cependant, un attaquant n’aurait aucun moyen de forcer les utilisateurs à visiter ces sites web. Au lieu de cela, un attaquant aurait à convaincre les utilisateurs de visiter un site web, généralement en les obtenant pour cliquer sur un lien dans un e-mail ou dans une demande Instant Messenger qui amène les utilisateurs sur le site web de l’attaquant.

Cette mise à jour de sécurité pour Microsoft XML Core Services® 3.0 est évaluée critique pour les versions affectées des clients Microsoft Windows et importante pour les versions affectées des serveurs Microsoft Windows. Pour plus d’informations, consultez la section Logiciels affectés.

La mise à jour de sécurité résout la vulnérabilité en modifiant la façon dont Microsoft XML Core Services® analyse le contenu XML. Pour plus d’informations sur la vulnérabilité, consultez la sous-section Questions fréquentes (FAQ) sur la vulnérabilité spécifique.

Pour plus d’informations sur ce document, consultez l’article de la Base de connaissances 2993958.

Logiciel affecté

Les versions ou éditions logicielles suivantes sont affectées. Les versions ou éditions qui ne sont pas répertoriées sont passées par leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

^[1]Cette mise à jour est disponible uniquement via Windows Update .

Notez que Windows Technical Preview et Windows Server Technical Preview sont affectés. Les clients exécutant ces systèmes d’exploitation sont encouragés à appliquer la mise à jour, disponible via Windows Update. 

Faq sur la mise à jour

Quelle version de Microsoft XML Core Services® est installée sur mon système ?
Certaines versions de Microsoft XML Core Services® sont incluses avec Microsoft Windows ; d’autres sont installées avec des logiciels de système d’exploitation non fournis par Microsoft ou par des fournisseurs tiers. Certains sont également disponibles sous forme de téléchargements distincts. Le tableau suivant présente les versions prises en charge de Microsoft Windows et indique quelles versions de Microsoft XML Core Services® sont incluses dans le système d’exploitation et quelles versions sont installées lorsque vous installez des logiciels Microsoft ou tiers supplémentaires.

Remarque Pour plus d’informations sur les versions prises en charge par Microsoft, consultez l’article de la Base de connaissances Microsoft 269238.

Évaluations de gravité et identificateurs de vulnérabilité

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin de novembre.

Vulnérabilité d’exécution de code à distance MSXML - CVE-2014-4118

Une vulnérabilité d’exécution de code à distance existe quand Microsoft XML Core Services® (MSXML) analyse incorrectement le contenu XML, ce qui peut endommager l’état du système de manière à permettre à un attaquant d’exécuter du code arbitraire. La vulnérabilité peut autoriser l’exécution de code à distance si un utilisateur ouvre un fichier ou une page web spécialement conçu. Microsoft a reçu des informations sur cette vulnérabilité par le biais d’une divulgation coordonnée des vulnérabilités. Lorsque ce bulletin de sécurité a été émis, Microsoft n’avait reçu aucune information pour indiquer que cette vulnérabilité avait été utilisée publiquement pour attaquer les clients. La mise à jour résout la vulnérabilité en modifiant la façon dont Microsoft XML Core Services® analyse le contenu XML.

Facteurs d’atténuation

Les facteurs d’atténuation suivants peuvent être utiles dans votre situation :

• Dans un scénario d’attaque basé sur le web, un attaquant peut héberger un site web spécialement conçu pour exploiter MSXML via Internet Explorer, puis convaincre un utilisateur d’afficher le site web. Cela peut également inclure des sites web et des sites web compromis qui acceptent ou hébergent du contenu ou des publicités fournis par l’utilisateur. Ces sites web peuvent contenir du contenu spécialement conçu qui pourrait exploiter cette vulnérabilité. Dans tous les cas, toutefois, un attaquant n’aurait aucun moyen de forcer les utilisateurs à afficher le contenu contrôlé par l’attaquant. Au lieu de cela, un attaquant doit convaincre les utilisateurs de prendre des mesures, généralement en les obtenant pour cliquer sur un lien dans un message électronique ou dans une demande Instant Messenger qui amène les utilisateurs sur le site web de l’attaquant, ou en les obtenant pour ouvrir une pièce jointe envoyée par e-mail.
• Un attaquant qui a réussi à exploiter cette vulnérabilité pourrait obtenir les mêmes droits d’utilisateur que l’utilisateur actuel. Les clients dont les comptes sont configurés pour avoir moins de droits d’utilisateur sur le système peuvent être moins affectés que ceux qui opèrent avec des droits d’utilisateur administratifs.
• Par défaut, toutes les versions prises en charge de Microsoft Outlook, Microsoft Outlook Express et Windows Mail ouvrent des messages électroniques HTML dans la zone Sites restreints. La zone Sites restreints, qui désactive les contrôles De script et ActiveX, permet de réduire le risque qu’un attaquant puisse utiliser cette vulnérabilité pour exécuter du code malveillant. Si un utilisateur clique sur un lien dans un e-mail, l’utilisateur peut toujours être vulnérable à l’exploitation de cette vulnérabilité par le biais du scénario d’attaque basé sur le web.
• Par défaut, Internet Explorer sur Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 et Windows Server 2012 R2 s’exécute en mode restreint appelé Configuration de sécurité renforcée. Ce mode atténue cette vulnérabilité. Consultez la section FAQ sur cette vulnérabilité pour plus d’informations sur la configuration de sécurité renforcée d’Internet Explorer.

Solutions de contournement

Microsoft a testé les solutions de contournement et les états suivants dans la discussion si une solution de contournement réduit les fonctionnalités :

• Empêcher l’utilisation de comportements binaires MSXML 3.0 dans Internet Explorer
  Vous pouvez désactiver les tentatives d’utilisation d’un comportement binaire spécifique dans Internet Explorer en définissant le bit de destruction pour le comportement dans le Registre.

  Avertissement Si vous utilisez l’Éditeur du Registre de manière incorrecte, vous risquez de provoquer de graves problèmes qui peuvent nécessiter la réinstallation de votre système d’exploitation. Microsoft ne peut pas vous garantir que vous pourrez résoudre les problèmes qui résulteront d'une mauvaise utilisation de l'éditeur du registre. Son utilisation est sous votre entière responsabilité.

  Pour définir les bits de destruction pour les CLSID avec la valeur {f5078f39-c551-11d3-89b9-000f81fe221} et {f6d90f16-9c73-11d3-b32e-00c04f990bb4}, collez le texte suivant dans un éditeur de texte tel que Bloc-notes Windows. Ensuite, enregistrez le fichier à l’aide de l’extension de nom de fichier .reg.

  Windows Registry Editor Version 5.00
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{f5078f39-c551-11d3-89b9-0000f81fe221}]
  "Compatibility Flags"=dword:04000400
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\ActiveX Compatibility\{f5078f39-c551-11d3-89b9-0000f81fe221}]
  "Compatibility Flags"=dword:04000400
  
  Windows Registry Editor Version 5.00
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{f6d90f16-9c73-11d3-b32e-00c04f990bb4}]
  "Compatibility Flags"=dword:04000400
  
  [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\ActiveX Compatibility\{f6d90f16-9c73-11d3-b32e-00c04f990bb4}]
  "Compatibility Flags"=dword:04000400
  

Vous pouvez appliquer ce fichier .reg à des systèmes individuels en double-cliquant dessus. Vous pouvez également l’appliquer dans différents domaines à l’aide de la stratégie de groupe. Pour plus d’informations sur la stratégie de groupe, consultez l’article TechNet, Regroupement de stratégies de groupe.

Remarque :
Vous devez redémarrer Internet Explorer pour que vos modifications prennent effet.

Impact de la solution de contournement. Les sites web qui utilisent les contrôles ActiveX XMLHTTP 3.0 peuvent ne plus s’afficher ou fonctionner correctement dans Internet Explorer.

Comment annuler la solution de contournement. Supprimez les clés de Registre précédemment ajoutées lors de l’implémentation de cette solution de contournement.

FAQ

Quel est le composant affecté par la vulnérabilité ?
La vulnérabilité affecte Microsoft XML Core Services® (MSXML), qui permet aux clients qui utilisent JScript, Visual Basic Scripting Edition (VBScript) et Microsoft Visual Studio 6.0 de développer des applications XML qui fournissent une interopérabilité avec d’autres applications conformes à la norme XML 1.0. Pour plus d’informations, consultez l’article Microsoft Developer Network, MSXML.

Qu’est-ce qu’un attaquant peut utiliser la vulnérabilité pour faire ?
Un attaquant qui a réussi à exploiter cette vulnérabilité pourrait obtenir les mêmes droits d’utilisateur que l’utilisateur connecté. Si un utilisateur est connecté avec des droits d’utilisateur administratifs, un attaquant peut alors installer des programmes ; afficher, modifier ou supprimer des données ; ou créez des comptes avec des droits d’utilisateur complets. Les utilisateurs dont les comptes sont configurés avec des droits restreints sur le système sont moins vulnérables que les utilisateurs qui ont des droits administratifs.

Comment un attaquant pourrait-il exploiter la vulnérabilité ?
Un attaquant peut exploiter la vulnérabilité en hébergeant un site web spécialement conçu pour appeler MSXML via Internet Explorer. Cela peut également inclure des sites web et des sites web compromis qui acceptent ou hébergent du contenu ou des publicités fournis par l’utilisateur. Ces sites web peuvent contenir du contenu spécialement conçu qui pourrait exploiter cette vulnérabilité. Toutefois, dans tous les cas, un attaquant n’aurait aucun moyen de forcer les utilisateurs à visiter ces sites web. Au lieu de cela, un attaquant aurait à convaincre les utilisateurs de visiter le site web, généralement en les obtenant pour cliquer sur un lien dans un e-mail ou dans une demande Instant Messenger qui amène les utilisateurs au site web de l’attaquant. Il peut également être possible d’afficher du contenu web spécialement conçu à l’aide de bannières publicitaires ou d’autres méthodes pour fournir du contenu web aux systèmes concernés.

Les applications et services web non-Microsoft qui utilisent la bibliothèque MSXML pour l’analyse xml peuvent également être vulnérables à cette attaque.

Quels systèmes sont principalement exposés à la vulnérabilité ?
Cette vulnérabilité nécessite qu’un utilisateur soit connecté et visite d’un site web pour que toute action malveillante se produise. Par conséquent, tous les systèmes où Internet Explorer est utilisé fréquemment, tels que les stations de travail ou les serveurs terminal, sont à risque de cette vulnérabilité.

J’exécute Internet Explorer sur Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 ou Windows Server 2012 R2. Cela atténue-t-il cette vulnérabilité ?
Oui. Par défaut, Internet Explorer sur Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 et Windows Server 2012 R2 s’exécute en mode restreint appelé Configuration de sécurité renforcée. La configuration de sécurité améliorée est un groupe de paramètres préconfigurés dans Internet Explorer qui peuvent réduire la probabilité qu’un utilisateur ou un administrateur télécharge et exécute du contenu web spécialement conçu sur un serveur. Il s’agit d’un facteur d’atténuation pour les sites web que vous n’avez pas ajoutés à la zone sites approuvés Internet Explorer.

Déploiement des mises à jour de sécurité

Pour plus d’informations sur le déploiement des mises à jour de sécurité, consultez l’article de la Base de connaissances Microsoft référencé dans le résumé exécutif.

Remerciements

Microsoft reconnaît les efforts de ceux de la communauté de sécurité qui nous aident à protéger les clients par le biais d’une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez accusés de réception.

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (11 novembre 2014) : Bulletin publié.

Page générée 2015-01-14 11 :39Z-08 :00.