Bulletin de sécurité Microsoft MS08-078 - Critique

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Pour une attaque Web, l'attaquant devrait héberger un site Web qui contiendrait une page Web spécialement conçue pour exploiter cette vulnérabilité. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent des contenus ou des annonces provenant d'utilisateurs pourraient contenir un contenu malveillant susceptible d'exploiter cette vulnérabilité. Cependant, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Il devrait y attirer l'utilisateur, généralement en l'incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.
• Tout attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.
• Par défaut, le Mode protégé d'Internet Explorer 7 et d'Internet Explorer 8 Beta 2 dans Windows Vista et versions ultérieures permet de protéger les utilisateurs et leur système des téléchargements malveillants en restreignant le démarrage d'un autre programme ou l'enregistrement de fichiers sans le consentement de l'utilisateur. Cela comprend les fichiers et paramètres de l'utilisateur ou du système.

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

• Définissez les paramètres des zones Intranet local et Internet sur la valeur « Élevé » afin d'afficher un message de confirmation avant d'exécuter les contrôles ActiveX et Active Scripting dans ces zones

  Vous pouvez vous protéger contre cette vulnérabilité en modifiant les paramètres de la zone de sécurité Internet afin d’afficher un message de confirmation avant l’exécution des contrôles ActiveX et Active Scripting. Réglez la sécurité de votre navigateur sur la valeur Élevé.

  Pour augmenter le niveau de sécurité de navigation dans Internet Explorer :

  1. Dans le menu Outils d'Internet Explorer, cliquez sur Options Internet.
  2. Dans la boîte de dialogue Options Internet, cliquez sur l'onglet Sécurité, puis sur l'icône Internet.
  3. Sous Niveau de sécurité pour cette zone, positionnez le curseur sur Élevé. Cela définit un niveau de sécurité élevé pour tous les sites Web que vous visitez.

  Remarque : Si aucun curseur n'est visible, cliquez sur Niveau par défaut, puis déplacez le curseur sur Élevé.

  Remarque : La définition du niveau de sécurité sur Élevé risque de perturber le fonctionnement de certains sites Web. Si vous rencontrez des difficultés lors de la visite d’un site Web après avoir modifié ce paramètre et que vous êtes certain de la fiabilité de ce site, vous pouvez ajouter ce dernier à votre liste de sites de confiance. Cela permettra à ce site de s'afficher correctement même si le niveau de sécurité est défini sur Élevé.

  Impact de cette solution de contournement : L’affichage d’un message de confirmation avant l’exécution des contrôles ActiveX et d'Active Scripting comporte des effets secondaires. De nombreux sites Web situés sur Internet ou sur un Intranet utilisent ActiveX ou Active Scripting pour offrir des fonctionnalités supplémentaires. Par exemple, un site de commerce électronique en ligne ou un site bancaire peuvent utiliser des contrôles ActiveX pour proposer des menus, des bons de commande ou même des relevés de compte. L’affichage d’un message de confirmation avant l’exécution d'Active Scripting ou de contrôles ActiveX est un paramètre global qui affecte tous les sites Internet et Intranet. De nombreux messages s’affichent lorsque vous mettez en œuvre cette solution de contournement. Pour chacun d’eux, si vous pensez que le site que vous visitez est un site de confiance, cliquez sur Oui afin d’exécuter les contrôles ActiveX ou Active Scripting. Si vous ne voulez pas recevoir d'invite pour tous ces sites, suivez les étapes décrites dans la section "Ajouter des sites de confiance à la zone Sites de confiance d'Internet Explorer".

  Ajouter des sites de confiance à la zone Sites de confiance d'Internet Explorer

  Après avoir configuré Internet Explorer de telle sorte que des messages de confirmation s’affichent avant l’exécution des contrôles ActiveX et d'Active Scripting dans les zones Internet et Intranet local, vous pouvez ajouter des sites de confiance dans la zone Sites de confiance d’Internet Explorer. Cette opération vous permettra de continuer à utiliser vos sites de confiance exactement comme vous le faites aujourd’hui, tout en vous protégeant contre cette attaque sur les autres sites. Nous vous recommandons d’ajouter uniquement des sites de confiance à la zone Sites de confiance.

  Procédez comme suit :

  1. Dans Internet Explorer, cliquez sur Outils, sur Options Internet, puis sur l’onglet Sécurité.
  2. Dans la zone Sélectionnez une zone de contenu Web pour spécifier ses paramètres de sécurité, cliquez sur Sites de confiance, puis sur Sites.
  3. Si vous souhaitez ajouter des sites qui ne requièrent pas un canal chiffré, désactivez la case à cocher Nécessite un serveur sécurisé (https:) pour tous les sites dans cette zone.
  4. Dans la zone Ajoute ce site Web à la zone, saisissez l'URL d'un site de confiance, puis cliquez sur Ajouter.
  5. Répétez ces étapes pour chaque site que vous souhaitez ajouter à cette zone.
  6. Cliquez sur OK à deux reprises pour accepter les modifications et retourner dans Internet Explorer.

  Remarque : Ajoutez les sites dont vous savez qu’ils n'effectueront pas d’action malveillante sur votre système. Vous pouvez notamment ajouter les sites « *.windowsupdate.microsoft.com » et « *.update.microsoft.com ». Il s’agit des sites qui hébergent la mise à jour et ils requièrent un contrôle ActiveX pour leur installation.

• Configurer Internet Explorer de manière à ce qu'il désactive Active Scripting ou à ce qu'il vous avertisse avant de l'exécuter dans la zone de sécurité Intranet local et Internet.

  Vous pouvez vous protéger contre cette vulnérabilité en modifiant vos paramètres afin d’être averti avant l’exécution d’Active Scripting ou afin de désactiver Active Scripting dans les zones de sécurité Intranet local et Internet. Procédez comme suit :

  1. Dans Internet Explorer, cliquez sur Options Internet dans le menu Outils.
  2. Cliquez sur l’onglet Sécurité.
  3. Cliquez sur Internet, puis sur Personnaliser le niveau.
  4. Sous Paramètres, dans la section Script, sous Active Scripting, cliquez sur Demander ou Désactiver, puis sur OK.
  5. Cliquez sur Intranet local, puis sur Personnaliser le niveau.
  6. Sous Paramètres, dans la section Script, sous Active Scripting, cliquez sur Demander ou Désactiver, puis sur OK.
  7. Cliquez sur OK à deux reprises pour retourner dans Internet Explorer.

  Remarque : La désactivation d'Active Scripting dans les zones de sécurité Intranet local et Internet risque de perturber le fonctionnement de certains sites Web. Si vous rencontrez des difficultés lors de la visite d’un site Web après avoir modifié ce paramètre et que vous êtes certain de la fiabilité de ce site, vous pouvez ajouter ce dernier à votre liste de sites de confiance. Il pourra ainsi s'afficher correctement.

  Impact de cette solution de contournement : L'affichage d’un message de confirmation avant l’exécution d'Active Scripting comporte des effets secondaires. De nombreux sites Web situés sur Internet ou sur un Intranet utilisent Active Scripting pour offrir des fonctionnalités supplémentaires. Par exemple, un site de commerce électronique en ligne ou un site bancaire peuvent utiliser Active Scripting pour proposer des menus, des bons de commande ou même des relevés de compte. L’affichage d’un message de confirmation avant l’exécution d'Active Scripting est un paramètre global qui affecte tous les sites Internet et Intranet. De nombreux messages s’affichent lorsque vous mettez en œuvre cette solution de contournement. Pour chacun d’eux, si vous pensez que le site que vous visitez est un site de confiance, cliquez sur Oui afin d’exécuter Active Scripting. Si vous ne voulez pas recevoir d'invite pour tous ces sites, suivez les étapes décrites dans la section "Ajouter des sites de confiance à la zone Sites de confiance d'Internet Explorer".

  Ajouter des sites de confiance à la zone Sites de confiance d'Internet Explorer

  Après avoir configuré Internet Explorer de telle sorte que des messages de confirmation s’affichent avant l’exécution des contrôles ActiveX et d'Active Scripting dans les zones Internet et Intranet local, vous pouvez ajouter des sites de confiance dans la zone Sites de confiance d’Internet Explorer. Cette opération vous permettra de continuer à utiliser vos sites de confiance exactement comme vous le faites aujourd’hui, tout en vous protégeant contre cette attaque sur les autres sites. Nous vous recommandons d’ajouter uniquement des sites de confiance à la zone Sites de confiance.

  Procédez comme suit :

  1. Dans Internet Explorer, cliquez sur Outils, sur Options Internet, puis sur l’onglet Sécurité.
  2. Dans la zone Sélectionnez une zone de contenu Web pour spécifier ses paramètres de sécurité, cliquez sur Sites de confiance, puis sur Sites.
  3. Si vous souhaitez ajouter des sites qui ne requièrent pas un canal chiffré, désactivez la case à cocher Nécessite un serveur sécurisé (https:) pour tous les sites dans cette zone.
  4. Dans la zone Ajoute ce site Web à la zone, saisissez l'URL d'un site de confiance, puis cliquez sur Ajouter.
  5. Répétez ces étapes pour chaque site que vous souhaitez ajouter à cette zone.
  6. Cliquez sur OK à deux reprises pour accepter les modifications et retourner dans Internet Explorer.

  Remarque : Ajoutez les sites dont vous savez qu’ils n'effectueront pas d’action malveillante sur votre système. Vous pouvez notamment ajouter les sites « *.windowsupdate.microsoft.com » et « *.update.microsoft.com ». Il s’agit des sites qui hébergent la mise à jour et ils requièrent un contrôle ActiveX pour leur installation.

• Désactiver la fonctionnalité d'îlot de données XML

  Attention : Si vous n'utilisez pas correctement le programme Éditeur du registre, vous risquez de provoquer de sérieux problèmes et d'avoir à réinstaller votre système d'exploitation. Microsoft ne peut pas garantir qu'il soit possible de résoudre des problèmes résultant d'une mauvaise utilisation de l'Éditeur du Registre. L'utilisation de l'Éditeur du Registre relève de votre responsabilité.

  Créez une copie de sauvegarde des clés de Registre en exécutant la commande suivante à partir d'une invite de commande sous privilèges élevés :

  Regedit.exe /e Disable_XML_Island_backup.reg HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}

  Remarque : Pour Windows Vista et Windows Server 2008, devenez le propriétaire de la clé [HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}] :

  1. En tant qu'administrateur, cliquez sur Démarrer, puis sur Exécuter, tapez Regedit dans la zone Ouvrir, puis cliquez sur OK.
  2. Localisez [HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}]
  3. Cliquez sur Permissions, puis Avancé et Propriétaire
  4. Modifiez le Propriétaire en Administrateur
  5. Cliquez sur Accordez Tous les droits à Administrateur
  6. Faites de même pour toutes les sous-clés

  Ensuite, enregistrez ce qui suit dans un fichier portant l'extension .REG, tel que Disable_XML_Island.reg :

  Windows Registry Editor Version 5.00
[-HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}]

  Exécutez Disable_XML_Island.reg à l'aide de la commande suivante à partir d'une invite de commande sous privilèges élevés :

  Regedit.exe /s Disable_XML_Island.reg

  Impact de cette solution de contournement : Le code XML intégré dans du HTML peut ne pas s'afficher correctement.

  Comment annuler la solution de contournement

  Restaurez l'état original en exécutant la commande suivante à partir d'une invite de commande sous privilèges élevés :

  Regedit.exe /s Disable_XML_Island_backup.reg

  Comment annuler la solution de contournement décrite dans l'Avis de sécurité Microsoft 961051

  L'Avis de sécurité Microsoft 961051 a présenté une méthode manuelle de modification de la Base de registre pour cette même solution de contournement. Si vous avez utilisé cette méthode et que vous souhaitez à présent annuler cette mise à jour, utilisez le fichier de registre suivant :

  Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}]
@="MsxmlIsland"
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}\InProcServer32]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6d,00,73,00,\
78,00,6d,00,6c,00,33,00,2e,00,64,00,6c,00,6c,00,00,00
"ThreadingModel"="Apartment"
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}\TypeLib]
@="{D63E0CE2-A0A2-11D0-9C02-00C04FC99C8E}"

• Restreindre l'utilisation d’Oledb32.dll dans Internet Explorer grâce aux niveaux d'intégrité

  Cette solution de contournement s'applique uniquement à Windows Vista et versions ultérieures. Elle nécessite que le Contrôle de compte d'utilisateur (UAC) et le Mode protégé soient activés, ce qui est le paramétrage par défaut.

  Enregistrez le texte suivant dans un répertoire temporaire :

  Pour les systèmes 32 bits

  Enregistrez un fichier appelé : « BlockAccess_x86.inf »

  [Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"

  Pour les systèmes 64 bits

  Enregistrez un fichier appelé : « BlockAccess_x64.inf »

  [Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"
"%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"

  Exécutez la commande suivante depuis le répertoire temporaire en tant qu'administrateur :

  SecEdit /configure /db BlockAccess.sdb /cfg <inf file>

  Après l'exécution de la commande, vous devriez voir les messages suivants :

  The task has completed successfully.
See log %windir%\security\logs\scesrv.log for detail info.

  Valider la solution de contournement

  Afin de valider l'application de cette solution de contournement, exécutez les commandes suivantes depuis une invite de commandes :

  Pour les systèmes 32 bits

  icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

  Pour les systèmes 64 bits

  icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"
icacls "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll"

  Chaque fois que vous exécutez icacls, recherchez la ligne suivante.

  Mandatory Label\Medium Mandatory Level:(NW,NR,NX)

  Impact de cette solution de contournement : Toute application ADO/OLE DB s'exécutant dans Internet Explorer cessera de fonctionner. L'impact devrait être minimal étant donné que les processus d'exécutant dans les niveaux d'intégrité Moyen ou supérieurs devraient pouvoir charger la DLL et l'utiliser.

  Comment annuler la solution de contournement

  Enregistrez le texte suivant dans un répertoire temporaire :

  Pour les systèmes 32 bits

  Enregistrez un fichier appelé : « unBlockAccess_x86.inf »

  [Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"

  Pour les systèmes 64 bits

  Enregistrez un fichier appelé : « unBlockAccess_x64.inf »

  [Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"
"%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"

  Exécutez la commande suivante depuis le répertoire temporaire en tant qu'administrateur :

  SecEdit /configure /db UnblockAccess.sdb /cfg <inf file>

  Après l'exécution de la commande, vous devriez voir les messages suivants :

  The task has completed successfully.
See log %windir%\security\logs\scesrv.log for detail info.

• Désactiver la fonctionnalité positionnement de ligne d’Oledb32.dll

  Attention : Si vous n'utilisez pas correctement le programme Éditeur du registre, vous risquez de provoquer de sérieux problèmes et d'avoir à réinstaller votre système d'exploitation. Microsoft ne peut pas garantir qu'il soit possible de résoudre des problèmes résultant d'une mauvaise utilisation de l'Éditeur du Registre. L'utilisation de l'Éditeur du Registre relève de votre responsabilité.

  Créez une copie de sauvegarde des clés de Registre en exécutant la commande suivante à partir d'une invite de commande sous privilèges élevés :

  Regedit.exe /e Disable_Row_Position_backup.reg HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}

  Remarque : Pour Windows Vista et Windows Server 2008, devenez le propriétaire de la clé [HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}] :

  1. En tant qu'administrateur, cliquez sur Démarrer, puis sur Exécuter, tapez Regedit dans la zone Ouvrir, puis cliquez sur OK.
  2. Localisez [HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}]
  3. Cliquez sur Permissions, puis Avancé et Propriétaire
  4. Modifiez le Propriétaire en Administrateur
  5. Cliquez sur Accordez Tous les droits à Administrateur
  6. Faites de même pour toutes les sous-clés

  Enregistrez ensuite ce qui suit dans un fichier portant l'extension .REG, par exemple, Disable_Row_Position.reg :

  Windows Registry Editor Version 5.00
[-HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}]

  Exécutez Disable_Row_Position.reg à l'aide de la commande suivante à partir d'une invite de commande sous privilèges élevés :

  Regedit.exe /s Disable_Row_Position.reg

  Impact de cette solution de contournement : Toutes les applications ADO utilisant la propriété « RowPosition » et informations connexes ne fonctionneront plus. Toutes les applications OLE DB utilisant la bibliothèque de positionnement de ligne OLE BD ne fonctionneront plus.

  Comment annuler la solution de contournement

  Restaurez l'état original en exécutant la commande suivante à partir d'une invite de commande sous privilèges élevés :

  Regedit.exe /s Disable_Row_Position_backup.reg

• Désinscrire Oledb32.dll

  Exécutez les commandes suivantes depuis une invite de commande en tant qu'administrateur :

  • Pour toutes les versions en cours de support de Windows 2000, Windows XP, Windows Server 2003, Windows Vista et Windows Server 2008 pour systèmes 32 bits

    Regsvr32.exe /u "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

  • Pour toutes les versions en cours de support de Windows XP Professionnel Édition x64, Windows Server 2003 Édition x64, Windows Vista Édition x64, Windows Server 2008 pour systèmes x64 et Windows Server 2008 pour systèmes Itanium.

    Regsvr32.exe /u "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

    Regsvr32.exe /u "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll"

  Impact de cette solution de contournement : Les applications OLE DB et ADO ne fonctionneront plus. Ceci inclut les implémentations ASP/ADO, les services liés SQL Server, les applications .Net utilisant l'espace de noms System.Data.OLEDB et certaines fonctionnalités Office qui utilisent l'accès à des données externes.

  Comment annuler la solution de contournement

  Exécutez les commandes suivantes depuis une invite de commande en tant qu'administrateur :

  • Pour toutes les versions en cours de support de Windows 2000, Windows XP, Windows Server 2003, Windows Vista et Windows Server 2008 pour systèmes 32 bits

    Regsvr32.exe "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

  • Pour toutes les versions en cours de support de Windows XP Professionnel Édition x64, Windows Server 2003 Édition x64, Windows Vista Édition x64, Windows Server 2008 pour systèmes x64 et Windows Server 2008 pour systèmes Itanium.

    Regsvr32.exe "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

    Regsvr32.exe "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll"

• Utiliser une liste de contrôle d'accès pour désactiver Oledb32.dll

  Exécutez les commandes suivantes depuis une invite de commande en tant qu'administrateur :

  • Pour toutes les versions en cours de support de Windows 2000, Windows XP et Windows Server 2003

    cacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /E /P everyone:N

  • Pour les éditions en cours de support de Windows XP Professionnel Édition x64, Windows Server 2003 Édition x64 et Windows Server 2003 pour systèmes Itanium :

    cacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /E /P everyone:N

    cacls "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll" /E /P everyone:N

  • Pour les versions en cours de support de Windows Vista et Windows Server 2008 pour les systèmes 32 bits :

    takeown /f "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

    icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /save %TEMP%\oledb32.32.dll.TXT

    icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /deny everyone:(F)

  • Pour les éditions en cours de support de Windows Vista Édition x64, Windows Server 2008 pour systèmes x64 et Windows Server 2008 pour systèmes Itanium :

    takeown /f "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

    icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /save %TEMP%\oledb32.64.dll.TXT

    icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /deny everyone:(F)

    takeown /f "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll"

    icacls "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll" /save %TEMP%\oledb32.32.dll.TXT

    icacls "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll" /deny everyone:(F)

  Impact de cette solution de contournement : Les applications OLE DB et ADO ne fonctionneront plus. Ceci inclut les implémentations ASP/ADO, les services liés SQL Server, les applications .Net utilisant l'espace de noms System.Data.OLEDB et certaines fonctionnalités Office qui utilisent l'accès à des données externes.

  Comment annuler la solution de contournement

  Exécutez les commandes suivantes depuis une invite de commande en tant qu'administrateur :

  • Pour toutes les versions en cours de support de Windows 2000, Windows XP et Windows Server 2003

    cacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /E /R everyone

  • Pour les éditions en cours de support de Windows XP Professionnel Édition x64, Windows Server 2003 Édition x64 et Windows Server 2003 pour systèmes Itanium :

    cacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll" /E /R everyone

    cacls "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll" /E /R everyone

  • Pour les versions en cours de support de Windows Vista et Windows Server 2008 pour les systèmes 32 bits :

    icacls "%ProgramFiles%\Common Files\System\Ole DB" /restore %TEMP%\oledb32.32.dll.TXT

  • Pour les éditions en cours de support de Windows Vista Édition x64, Windows Server 2008 pour systèmes x64 et Windows Server 2008 pour systèmes Itanium :

    icacls "%ProgramFiles%\Common Files\System\Ole DB" /restore %TEMP%\oledb32.32.dll.TXT

    icacls "%ProgramFiles(x86)%\Common Files\System\Ole DB" /restore %TEMP%\oledb32.64.dll.TXT

• Activer DEP pour Internet Explorer 7 sur Windows Vista et sur Windows Server 2008

  Les Administrateurs locaux peuvent contrôler DEP/NX en exécutant Internet Explorer en tant qu'Administrateur (uniquement pour effectuer le paramétrage, ne pas naviguer sur des sites en tant qu'Administrateur). Pour activer DEP, exécutez les étapes suivantes :

  1. Dans Internet Explorer, cliquez sur Outils, sur Options Internet, puis sur l’onglet Avancé.
  2. Cliquez sur Activer la protection de la mémoire pour aider à atténuer les attaques en ligne.

  Impact de cette solution de contournement : Certaines extensions de navigateur peuvent ne pas être compatibles avec DEP et peuvent se terminer de manière impromptue. Le cas échéant, vous pouvez désactiver le module complémentaire ou rétablir le paramétrage précédent de DEP en utilisant l'icône Internet du Panneau de configuration. Ceci est également disponible par l'intermédiaire de l'icône Système du Panneau de configuration

• Désactiver l'association de données dans Internet Explorer 8 Beta 2

  Exécutez les étapes suivantes :

  1. Configurez les paramètres des zones de sécurité Intranet local et Internet sur la valeur « Élevé ».
  2. Enregistrez ce qui suit dans un fichier portant l'extension .REG, tel que Disable_Data_Binding.reg afin d'ajouter une clé de contrôle sur cette fonctionnalité :
     
     Windows Registry Editor Version 5.00
     [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl\FEATURE_DATABINDING_SUPPORT]
     "iexplore.exe"=dword:00000000
  3. Exécutez Disable_Data_Binding.reg à l'aide de la commande suivante à partir d'une invite de commande sous privilèges élevés :
     
     Regedit.exe /s Disable_Data_Binding.reg

  Impact de cette solution de contournement : Cette solution de contournement désactive l'association de données pour toutes les zones de sécurité. Tout site Web qui utilise les associations de données ne s'affichera pas correctement.

  Comment annuler la solution de contournement

  Utilisez le fichier de registre suivant afin de supprimer la clé de contrôle sur cette fonctionnalité :

  Windows Registry Editor Version 5.00

  [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl\FEATURE_DATABINDING_SUPPORT]

Quelle est la portée de cette vulnérabilité ? 
Il s'agit d'une vulnérabilité d'exécution de code à distance. Un attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur connecté.

Si un utilisateur a ouvert une session avec des privilèges d'administrateur, un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral d'un système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Quelle est la cause de cette vulnérabilité ?  
La vulnérabilité est une référence invalide à un pointeur dans une fonction d'association de données d'Internet Explorer. Lorsque l'association de données est activée (ce qui est le cas par défaut), il est possible, sous certaines conditions, qu'un objet soit libéré sans mise à jour de la longueur du tableau, permettant ainsi un accès potentiel à l'espace mémoire de l'objet supprimé. Internet Explorer peut alors se fermer de manière inattendue, dans un état vulnérable. Cette tentative pourrait corrompre la mémoire et permettre à un attaquant d'exécuter du code arbitraire dans le contexte d'un utilisateur connecté.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les mêmes droits utilisateur que l'utilisateur local. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Comment un attaquant peut-il exploiter cette vulnérabilité ?  
Un attaquant pourrait héberger un site Web malveillant conçu pour exploiter cette vulnérabilité via Internet Explorer, puis inciter un utilisateur à consulter ce site Web. L'attaquant pourrait également exploiter des sites Web compromis et des sites Web qui acceptent ou hébergent du contenu ou des annonces fournis par l'utilisateur. Ces sites Web pourraient contenir du code spécialement conçu capable d'exploiter cette vulnérabilité. Cependant, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Il devrait y attirer l’utilisateur, généralement en l’incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site. Il pourrait également afficher un contenu Web spécialement conçu en imitant des panneaux publicitaires ou d'autres moyens afin d'envoyer du contenu Web aux systèmes affectés.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Cette vulnérabilité ne permet l'exécution d’une action malveillante que si un utilisateur a ouvert une session et est en train de lire des messages électroniques au format HTML ou de visiter des sites Web. C’est pourquoi les systèmes sur lesquels la messagerie ou Internet Explorer sont fréquemment utilisés (comme les postes de travail ou les serveurs de terminaux) sont les plus exposés à cette vulnérabilité. Les serveurs pourraient être plus exposés si les administrateurs autorisent les utilisateurs à naviguer sur Internet et à consulter leur messagerie électronique depuis ceux-ci. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

Quels sont les solutions de contournement que je devrais appliquer afin que mon système soit protégé ?
D'après nos recherches, paramétrer la zone de sécurité Internet sur la valeur « Élevé » protège contre les attaques connues. Toutefois, afin d'obtenir la meilleure protection, nos clients devraient considérer l'utilisation de la solution basée sur le paramètre de sécurité « Élevé » en combinaison avec une des solutions présentées ci-dessous.

• Désactiver la fonctionnalité d'îlot de données XML
• Restreindre l'utilisation d’Oledb32.dll dans Internet Explorer grâce aux niveaux d'intégrité
• Désactiver la fonctionnalité positionnement de ligne d’Oledb32.dll
• Désinscrire Oledb32.dll
• Utiliser une liste de contrôle d'accès pour désactiver Oledb32.dll

Pour obtenir des informations complémentaires sur les contournements, consultez l'article suivant : .

Ces solutions de contournement protègent toutes efficacement nos clients. Toutefois, chacune d'entre elles possède un impact différent sur l'environnement où elles sont appliquées. Nous recommandons fortement à nos clients d’évaluer l'impact potentiel sur leur propre environnement en fonction des informations fournies avec chaque solution de contournement.

Comment suis-je protégé en configurant le paramètre de la zone de sécurité Internet sur la valeur « Élevé » ?
Paramétrer la zone de sécurité Internet sur la valeur « Élevé » protège contre toutes les tentatives actuelles d'exploitation de cette vulnérabilité en désactivant l'interprétation des scripts, les fonctionnalités les moins sécurisées et en bloquant les techniques de contournement de DEP (Data Execution Prevention). Il est important de noter que le code vulnérable peut être atteint même si ces protections sont en place. Toutefois, les attaques actuelles ne réussiraient pas si ces solutions de contournement sont en place.

Comment suis-je protégé par le mode protégé d'Internet Explorer 7 et d'Internet Explorer 8 Beta 2 dans Windows Vista et versions ultérieures ?
Dans Windows Vista, Internet Explorer 7 et Internet Explorer 8 Beta 2 s'exécutent par défaut en mode protégé pour la zone de sécurité Internet. (le mode protégé est désactivé par défaut dans la zone Intranet). Le mode protégé réduit de façon significative les possibilités d'un attaquant d'écrire, d'altérer ou de détruire des données de la machine de l'utilisateur ou d'installer du code malveillant. Ceci s'appuie sur les mécanismes d'intégrité de Windows Vista, qui restreignent l'accès aux processus, fichiers et clés de registre qui possèdent des niveaux d'intégrité élevés.

Qu'est-ce que DEP (Data Execution Prevention) ?
Data Execution Prevention (DEP) est inclus dans Internet Explorer. Il est désactivé par défaut dans Internet Explorer 7 et activé par défaut dans Internet Explorer 8 Beta 2. DEP est conçu pour contrecarrer les attaques en empêchant du code de s'exécuter dans des zones mémoire marquées non-exécutables. Pour plus d'informations sur DEP dans Internet Explorer, consultez l'article MSDN suivant : http://blogs.msdn.com/ie/archive/2008/04/08/ie8-security-part-I_3A00_-dep-nx-memory-protection.aspx. Récemment, du code preuve de concept démontrant certaines méthodes pour contourner DEP a été publié. Toutefois, les solutions de contournement incluses dans ce Bulletin de sécurité - paramétrer la zone de sécurité Internet sur la valeur « Élevé » tout en appliquant une des solutions de contournement basées sur Oledb32.dll - sont toujours efficaces pour bloquer les attaques en cours.

Que fait cette mise à jour ?  
Cette mise à jour corrige la vulnérabilité en modifiant la façon dont Internet Explorer valide les paramètres de liaison des données et gère l'erreur à la source du problème.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro « Common Vulnerability and Exposure » CVE-2008-4844.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?  
Oui. Lors de la parution de ce Bulletin de sécurité, Microsoft avait été informé de l’exploitation de cette vulnérabilité.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Remarque : Pour Windows XP Professionnel Édition x64, cette mise à jour de sécurité est identique à celle de Windows Server 2003 Édition x64.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.