Bulletin de sécurité Microsoft MS14-079 - Modéré

Une vulnérabilité dans le pilote en mode noyau peut autoriser le déni de service (3002885)

Publication : 11 novembre 2014

Version : 1.0

Résumé

Cette mise à jour de sécurité résout une vulnérabilité signalée en privé dans Microsoft Windows. La vulnérabilité peut autoriser le déni de service si un attaquant place une police TrueType spécialement conçue sur un partage réseau et qu’un utilisateur y accède par la suite dans l’Explorateur Windows. Dans un scénario d’attaque basé sur le web, un attaquant peut héberger un site web qui contient une page web utilisée pour exploiter cette vulnérabilité. En outre, les sites web et sites web compromis qui acceptent ou hébergent du contenu ou des publicités fournis par l’utilisateur peuvent contenir du contenu spécialement conçu qui pourrait exploiter cette vulnérabilité. Dans tous les cas, cependant, un attaquant n’aurait aucun moyen de forcer les utilisateurs à visiter ces sites web. Au lieu de cela, un attaquant aurait à persuader les utilisateurs de visiter un site web, généralement en les faisant cliquer sur un lien dans un e-mail ou un message Instantané Messenger qui les emmène sur le site web de l’attaquant.

Cette mise à jour de sécurité est évaluée modéré pour toutes les versions prises en charge de Microsoft Windows. Pour plus d’informations, consultez la section Logiciels affectés.

La mise à jour de sécurité résout la vulnérabilité en garantissant que le pilote en mode noyau Windows valide correctement les index de tableau lors du chargement des fichiers de police TrueType. Pour plus d’informations sur les vulnérabilités, consultez la sous-section Questions fréquentes (FAQ) sur la vulnérabilité spécifique.

Pour plus d’informations sur cette mise à jour, consultez l’article 3002885 de la Base de connaissances Microsoft.

Logiciel affecté

Le logiciel suivant a été testé pour déterminer quelles versions ou éditions sont affectées. D’autres versions ou éditions dépassent leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

^[1]Cette mise à jour est disponible uniquement via Windows Update .

Évaluations de gravité et identificateurs de vulnérabilité

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin de novembre.

Vulnérabilité du pilote en mode noyau Windows - CVE-2014-6317

Une vulnérabilité de déni de service existe dans le pilote en mode noyau Windows qui est dû à la gestion incorrecte des objets de police TrueType en mémoire. Microsoft a reçu des informations sur cette vulnérabilité par le biais d’une divulgation coordonnée des vulnérabilités. Lorsque ce bulletin de sécurité a été émis,***Microsoft n’avait reçu aucune information pour indiquer que cette vulnérabilité avait été utilisée publiquement pour attaquer les clients. La mise à jour résout cette vulnérabilité en garantissant que le pilote en mode noyau Windows valide correctement les index de tableau lors du chargement des fichiers de police TrueType.

Facteurs d’atténuation

Les facteurs d’atténuation suivants peuvent être utiles dans votre situation :

• Dans un scénario d’attaque basé sur le web, un attaquant peut héberger un site web qui contient une page web utilisée pour exploiter cette vulnérabilité. En outre, les sites web et sites web compromis qui acceptent ou hébergent du contenu ou des publicités fournis par l’utilisateur peuvent contenir du contenu spécialement conçu qui pourrait exploiter cette vulnérabilité. Dans tous les cas, cependant, un attaquant n’aurait aucun moyen de forcer les utilisateurs à visiter ces sites web. Au lieu de cela, un attaquant aurait à persuader les utilisateurs de visiter un site web, généralement en les faisant cliquer sur un lien dans un e-mail ou un message Instantané Messenger qui les emmène sur le site web de l’attaquant.
• Le fichier malveillant peut être envoyé en tant que pièce jointe par e-mail, mais l’attaquant devra convaincre l’utilisateur d’ouvrir la pièce jointe afin d’exploiter la vulnérabilité.

Solutions de contournement

Les solutions de contournement suivantes peuvent être utiles dans votre situation :

• Refuser l’accès à T2E Mo ED.DLL

  Sur Windows Server 2003 :

  • Pour les systèmes 32 bits, entrez la commande suivante à l’invite de commandes d’administration :

    Echo y| cacls "%windir%\system32\t2embed.dll" /E /P everyone:N
    

  • Pour les systèmes 64 bits, entrez la commande suivante à l’invite de commandes d’administration :

    Echo y| cacls "%windir%\system32\t2embed.dll" /E /P everyone:N
    Echo y| cacls "%windir%\syswow64\t2embed.dll" /E /P everyone:N
    

  Sur Windows Vista, Windows 7, Windows Server 2008, Windows Server 2008 R2, Windows 8, Windows 8.1, Windows Server 2012 et Windows Server 2012 R2 :

  • Pour les systèmes 32 bits, entrez la commande suivante à l’invite de commandes d’administration :

    Takeown.exe /f "%windir%\system32\t2embed.dll"
    Icacls.exe "%windir%\system32\t2embed.dll" /deny everyone:(F)
    

  • Pour les systèmes 64 bits, entrez la commande suivante à l’invite de commandes d’administration :

    Takeown.exe /f "%windir%\system32\t2embed.dll"
    Icacls.exe "%windir%\system32\t2embed.dll" /deny everyone:(F)
    Takeown.exe /f "%windir%\syswow64\t2embed.dll"
    Icacls.exe "%windir%\syswow64\t2embed.dll" /deny everyone:(F)
    

  Impact de la solution de contournement. Les applications qui s’appuient sur la technologie de police incorporée ne s’affichent pas correctement.

  Comment annuler la solution de contournement.

  Sur Windows Server 2003 :

  • Pour les systèmes 32 bits, entrez la commande suivante à l’invite de commandes d’administration :

    cacls "%windir%\system32\t2embed.dll" /E /R everyone
    

  • Pour les systèmes 64 bits, entrez la commande suivante à l’invite de commandes d’administration :

    cacls "%windir%\system32\t2embed.dll" /E /R everyone
    cacls "%windir%\syswow64\t2embed.dll" /E /R everyone
    

  Sur Windows Vista, Windows 7, Windows Server 2008, Windows Server 2008 R2, Windows 8, Windows 8.1, Windows Server 2012 et Windows Server 2012 R2 :

  • Pour les systèmes 32 bits, entrez la commande suivante à l’invite de commandes d’administration :

    Icacls.exe %WINDIR%\system32\t2embed.DLL /remove:d  everyone
    

  • Pour les systèmes 64 bits, entrez la commande suivante à l’invite de commandes d’administration :

    Icacls.exe %WINDIR%\system32\t2embed.DLL /remove:d  everyone
    Icacls.exe %WINDIR%\syswow64\t2embed.DLL /remove:d  everyone
    

FAQ

Qu’est-ce qu’un attaquant peut utiliser la vulnérabilité pour faire ?
Un attaquant qui a réussi à exploiter cette vulnérabilité peut entraîner l’arrêt de la réponse et du redémarrage du système cible.

Comment un attaquant pourrait-il exploiter la vulnérabilité ?
Un attaquant peut héberger une police TrueType spécialement conçue sur un partage réseau et lorsque l’utilisateur accède au partage dans l’Explorateur Windows, le chemin de contrôle affecté est déclenché via les volets Détails et Aperçu. La police TrueType spécialement conçue peut ensuite exploiter la vulnérabilité et empêcher le système de répondre.

Dans un scénario d’attaque par e-mail, un attaquant pourrait exploiter la vulnérabilité en envoyant un fichier spécialement conçu à l’utilisateur et en convainquant l’utilisateur d’ouvrir le fichier dans une version affectée du logiciel Microsoft Windows.

Dans un scénario d’attaque web, un attaquant peut héberger un site web qui contient un fichier utilisé pour tenter d’exploiter la vulnérabilité. En outre, les sites web et sites web compromis qui acceptent ou hébergent du contenu fourni par l’utilisateur peuvent contenir du contenu spécialement conçu qui pourrait exploiter cette vulnérabilité. Un attaquant n’aurait aucun moyen de forcer les utilisateurs à visiter un site web spécialement conçu. Au lieu de cela, un attaquant devra les convaincre de visiter le site web, généralement en les obtenant pour cliquer sur un lien dans un message électronique ou un message Instantané Messenger qui les emmène sur le site de l’attaquant, puis les convaincre d’ouvrir le fichier spécialement conçu dans une version affectée du logiciel Microsoft Windows.

Quels systèmes sont principalement exposés à la vulnérabilité ?
Les stations de travail et les serveurs terminal sont principalement à risque. Les serveurs peuvent être plus risqués si les administrateurs autorisent les utilisateurs à se connecter aux serveurs et à exécuter des programmes. Toutefois, les meilleures pratiques découragent fortement cette autorisation.

Déploiement des mises à jour de sécurité

Pour plus d’informations sur le déploiement des mises à jour de sécurité, consultez l’article de la Base de connaissances Microsoft référencé dans le résumé exécutif.

Remerciements

Microsoft reconnaît les efforts de ceux de la communauté de sécurité qui nous aident à protéger les clients par le biais d’une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez accusés de réception.

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (11 novembre 2014) : Bulletin publié.

Page générée 2015-01-14 12 :02Z-08 :00.