Bulletin de sécurité Microsoft MS08-065 - Important

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Par défaut, le composant Message Queuing n'est pas installé sur les éditions concernées du système d'exploitation et ne peut être activé que par un utilisateur doté de privilèges d'administration. Seuls les clients qui ont installé manuellement le composant Message Queuing peuvent être concernés par ce problème.
• Pour un client nécessitant le composant Message Queuing, les meilleures pratiques en matière de pare-feu ainsi que les configurations standard par défaut des pare-feu, contribuent à protéger les réseaux contre les attaques lancées depuis l’extérieur de l’entreprise. Les meilleures pratiques recommandent que les systèmes connectés à Internet aient le moins possible de ports exposés.

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

• Bloquer les éléments suivants au niveau du pare-feu de périmètre :
  • tout trafic entrant non sollicité sur les ports au-delà du 1024 ;
  • tout autre port RPC spécialement configuré ;
    
    Ces ports sont utilisés pour établir une connexion avec RPC. En les bloquant au niveau du pare-feu, vous aidez à protéger les systèmes situés derrière ce pare-feu des tentatives d’exploitation de cette vulnérabilité. Veillez aussi à bloquer tout autre port RPC spécialement configuré sur le système distant. Microsoft vous recommande de bloquer toute communication entrante non sollicitée en provenance d’Internet, afin de renforcer la protection contre des attaques qui pourraient utiliser les autres ports. Pour plus d'informations sur les ports utilisés par RPC, consultez Affectations de port TCP et UDP.
• Désactiver le service Message Queuing (MSMQ) :
  • De manière interactive
    
    Désactiver le service Message Queuing aide à protéger votre système contre les tentatives d'exploitation de cette vulnérabilité. Pour désactiver le service Message Queuing, procédez comme suit :
    
    1. Cliquez sur Démarrer, puis sur Panneau de configuration. Vous pouvez également sélectionner Paramètres, puis cliquer sur Panneau de configuration.
    
    2. Double-cliquez sur Outils d'administration. Vous pouvez également cliquer sur Basculer vers l'affichage classique, puis double-cliquer sur Outils d'administration.
    
    3. Double-cliquez sur Services.
    
    4. Double-cliquez sur Message Queuing.
    
    5. Dans la liste Type de démarrage, sélectionnez Désactivé.
    
    6. Cliquez sur Arrêter, puis sur OK.
  • En utilisant une stratégie de groupe :
    
    Désactiver le service Message Queuing à l'aide des paramètres de stratégie de groupe. Vous pouvez désactiver le démarrage de ce service en appliquant une Stratégie de groupe au niveau local ou au niveau site, domaine ou unité organisationnelle (OU) dans un domaine Microsoft Windows 2000 ou Windows Server 2003.
    
    Remarque : Vous pouvez aussi consulter le Guide de sécurité Windows Server 2003. Ce guide inclut des informations concernant la désactivation de services.
    Pour plus d'informations sur la Stratégie de groupe, consultez le site Web Microsoft suivant :
    
    Guide étape par étape permettant de comprendre la Stratégie de groupe

  Vous pouvez également arrêter et désactiver le service MSMQ en utilisant la commande suivante (disponible dans Windows XP et dans le kit de ressources de Microsoft Windows 2000) :

  Sc stop MSMQ & sc config MSMQ start= disabled

  Comment annuler cette solution de contournement : Suivez les étapes ci-dessus pour paramétrer le type de démarrage sur Automatique et démarrer le service.

Quelle est la portée de cette vulnérabilité ?  
Il s'agit d'une vulnérabilité d'exécution de code à distance pour les systèmes Microsoft Windows 2000 sur lesquels le service MSMQ est activé. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral à distance d'un système affecté. Un attaquant pourrait alors installer des programmes, ou bien encore afficher, modifier ou supprimer des données.

Quelle est la cause de cette vulnérabilité ?  
Le service MSMQ ne traite pas correctement les requêtes RPC spécialement conçues.

Qu'est-ce que Message Queuing ? La technologie Microsoft Message Queuing permet à des applications exécutées à des moments différents de communiquer au travers de réseaux hétérogènes et par l'intermédiaire de systèmes pouvant être temporairement hors-ligne. Ces applications envoient des messages vers des files d'attente et lisent les messages contenus dans ces files d'attente. Message Queuing garantit la livraison des messages, un routage efficace, la sécurité et la gestion de priorités. Elle peut être utilisée pour mettre en œuvre des solutions de messageries synchrones et asynchrones. Pour obtenir plus d'informations sur Message Queuing, consultez la documentation produit.

Qu'est ce que le RPC ?  
Le RPC Microsoft est un modèle de programmation pour les environnements informatiques distribués. Le RPC est conçu pour offrir une communication transparente, afin que le client semble communiquer directement avec le serveur. L'implémentation du RPC par Microsoft est compatible avec le RPC Distributed Computing Environment (DCE) de l'Open Software Foundation (OSF). Pour plus d'informations sur le RPC, consultez ce site Web MSDN.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Un attaquant non authentifié pourrait provoquer l'exécution à distance de code arbitraire dans le contexte SYSTÈME en envoyant une requête RPC spécialement conçue au service MSMQ. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Comment un attaquant peut-il exploiter cette vulnérabilité ?  
Un attaquant pourrait exploiter cette vulnérabilité en envoyant une requête RPC spécialement conçue au service MSMQ. Une requête de tas peut être contrôlée puis dépassée pendant une opération de copie de chaîne non contrôlée. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait avoir accès au système affecté complet, dans le contexte SYSTÈME.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Les systèmes Microsoft Windows 2000 sur lesquels le service MSMQ est activé sont les plus exposés.

Que fait cette mise à jour ?  
Cette mise à jour supprime la vulnérabilité en modifiant la façon dont le service MSMQ valide des paramètres au niveau des API de chaînes invoquées par le service MSMQ.

Lors de la parution de ce bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable.

Lors de la parution de ce bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?  
Non. Lors de la première publication de ce bulletin, Microsoft n’avait reçu aucune information indiquant que cette vulnérabilité avait été utilisée pour attaquer des clients, et n’avait pas la connaissance de la publication d’un tel code.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.