Bulletin de sécurité Microsoft MS09-012 - Important

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Pour exploiter cette vulnérabilité, l'attaquant doit pouvoir exécuter du code sur l'ordinateur local.

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

• IIS 6.0 - Configurer une identité de processus de travail (WPI) d'un pool d'applications afin d'utiliser un compte spécialement créé dans le Gestionnaire IIS et désactiver MSDTC

  Exécutez les étapes suivantes :

  1. Dans le Gestionnaire IIS, développez l'ordinateur local, développez Pools d'application, cliquez avec le bouton droit de la souris et sélectionnez Propriétés.
  2. Cliquez sur l'onglet Identité et cliquez sur Configurable. Dans les boîtes Nom d'utilisateur et Mot de passe, entrez le nom d'utilisateur et le mot de passe du compte sous lequel vous souhaitez faire fonctionner le processus de travail.
  3. Ajouter le compte d'utilisateur choisi au groupe « IIS_WPG ».

  Désactiver le Coordinateur de transactions distribuées (DTC) peut aider à protéger un système concerné des tentatives d'exploitation de cette vulnérabilité. Pour désactiver Coordinateur de transactions distribuées (DTC), procédez comme suit :

  1. Cliquez sur Démarrer, puis sur Panneau de configuration. Vous pouvez également pointer sur Paramètres, puis cliquer sur Panneau de configuration.
  2. Double-cliquez sur Outils d'administration. Vous pouvez également cliquer sur Basculer vers l'affichage classique, puis double-cliquer sur Outils d'administration.
  3. Double-cliquez sur Services.
  4. Double-cliquez sur Coordinateur de transactions distribuées.
  5. Dans la liste Type de démarrage, sélectionnez Désactivé.
  6. Cliquez sur Arrêter (s'il est démarré), puis sur OK.

  Vous pouvez également désactiver le service MSDTC en entrant la commande suivante à l'invite de commande :
  
  sc stop MSDTC & sc config MSDTC start= disabled

  Impact de cette solution de contournement : Gérer les comptes supplémentaires créés dans cette solution de contournement peut induire une charge de travail d'administration plus importante. En fonction de la nature des applications s'exécutant dans ce pool d'applications, leurs fonctionnalités peuvent être affectées. Un exemple est l'authentification Windows. Consultez l'Article 871179 de la Base de connaissances Microsoft. Désactiver MSDTC empêchera les applications d'utiliser des transactions distribuées. Désactiver MSDTC empêchera IIS 5.1 de s'exécuter sous Windows XP Professionnel Service Pack 2, Windows XP Professionnel Service Pack 3 et IIS 6.0 de s'exécuter sous le mode de compatibilité IIS 5.0. Désactiver MSDTC empêchera la configuration et l'exécution des applications COM+.

• IIS 7.0 - Configurer une identité de processus de travail (WPI) pour un pool d'applications dans le Gestionnaire IIS
  1. Dans le Gestionnaire IIS, développez nœud correspondant au serveur, cliquez sur Pools d'application, cliquez avec le bouton droit de la souris et sélectionnez Paramètres avancés....
  2. Localisez l'entrée Identité, cliquez sur le bouton … afin d'ouvrir la boîte de dialogue Identité du pool d'applications.
  3. Sélectionnez l'option Compte personnalisé et cliquez sur Paramétrer afin d'ouvrir la boîte de dialogue Définir les informations d'identification. Entrez le Nom de compte et Mot de passe choisis dans les champs Nom d'utilisateur et Mot de passe. Entrez le mot de passe dans le champ Confirmation du mot de passe, et cliquez sur OK.

  Remarque Les identités de pools d'applications sont ajoutées dynamiquement au groupe IIS_WPG dans IIS 7 et n'ont pas besoin d'être ajoutés manuellement.

  Impact de cette solution de contournement : Gérer les comptes supplémentaires créés dans cette solution de contournement peut induire une charge de travail d'administration plus importante. En fonction de la nature des applications s'exécutant dans ce pool d'applications, leurs fonctionnalités peuvent être affectées.

• IIS 7.0 - Configurer une identité de processus de travail (WPI) pour un pool d'applications en utilisant l'utilitaire ligne de commande APPCMD.exe
  1. À partir d'une invite de commandes avec privilèges élevés, positionnez-vous dans le répertoire %systemroot%\system32\inetsrv.
  2. Exécutez la commande APPCMD.exe en utilisant la syntaxe suivante où string est le nom du pool d'applications, où userName:string est le nom d'utilisateur du compte attribué au pool d'applications et où password:string est le mot de passe du compte.
     
     appcmd set config /section:applicationPools /
     [name='string'].processModel.identityType:SpecificUser /
     [name='string'].processModel.userName:string /
     [name='string'].processModel.password:string

  Remarque Les identités de pools d'applications sont ajoutées dynamiquement au groupe IIS_WPG dans IIS 7.0 et n'ont pas besoin d'être ajoutés manuellement.

  Impact de cette solution de contournement : Gérer les comptes supplémentaires créés dans cette solution de contournement peut induire une charge de travail d'administration plus importante. En fonction de la nature des applications s'exécutant dans ce pool d'applications, leurs fonctionnalités peuvent être affectées.

Quelle est la portée de cette vulnérabilité ?  
Il s’agit d’une vulnérabilité d’élévation de privilèges. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code arbitraire avec des privilèges NetworkService. Un attaquant pourrait alors obtenir le jeton LocalSystem par d'autres services vulnérables et installer des programmes, afficher, modifier ou supprimer des données, ou encore créer de nouveaux comptes dotés de tous les privilèges.

Quelle est la cause de cette vulnérabilité ?  
Cette vulnérabilité est due au système de transaction MSDTC (Microsoft Distributed Transaction Coordinator), lequel permet d'obtenir et d'utiliser le jeton NetworkService lors des appels RPC.

Qu'est-ce que MSDTC ?  
MSDTC (Microsoft Distributed Transaction Coordinator) est un système de transactions distribuées destiné aux plates-formes Microsoft Windows. MSDTC utilise une technologie de traitement des transactions éprouvée. Il résiste aux défaillances du système, des procédures ou des communications, et exploite des systèmes faiblement couplés pour fournir des performances évolutives. De plus, il est facile à installer, à configurer et à gérer.

Pour plus d'informations sur MSDTC, reportez-vous à l'article MSDN Guide des développeurs DTC (en anglais).

Qu'est ce que le RPC ?  
Remote Procedure Call (RPC) est un protocole qui peut être utilisé par un programme pour solliciter un autre programme situé sur une autre machine sur un réseau. RPC participe à l'interopérabilité car le programme utilisant RPC n'a pas à connaître les protocoles réseaux qui gèrent la communication. Dans RPC, le programme appelant est le client et le programme fournissant un service est le serveur.

Qu'est-ce que le compte NetworkService ?  
NetworkService est un compte local prédéfini utilisé par le Gestionnaire de contrôle des services. Il possède des privilèges minimaux sur l'ordinateur local et agit pour le compte de l'ordinateur sur le réseau. Un service qui s'exécute dans le contexte du compte NetworkService présente les informations d'authentification de l'ordinateur aux serveurs distants. Pour plus d'informations, consultez l'article MSDN sur le compte NetworkService (en anglais).

Qu'est-ce que le compte LocalService ?  
LocalService est un compte local prédéfini utilisé par le Gestionnaire de contrôle des services. Il possède des privilèges minimaux sur l'ordinateur local et présente des informations d'authentification anonymes sur le réseau. Pour plus d'informations, consultez l'article MSDN sur le compte LocalService (en anglais).

Qu'est-ce que le compte LocalSystem ?  
LocalSystem est un compte local prédéfini utilisé par le Gestionnaire de contrôle des services. Il possède des privilèges étendus sur l'ordinateur local et agit pour le compte de l'ordinateur sur le réseau. Son jeton inclut les identifiants de sécurité (SID - Security Identifiers) NT AUTHORITY\SYSTEM et BUILTIN\Administrators ; ces comptes ont accès à la plupart des objets système. Un service qui s'exécute dans le contexte du compte LocalSystem hérite du contexte de sécurité du Gestionnaire de contrôle des services. La plupart des services n'ont pas besoin d'un niveau de privilège aussi élevé. Pour plus d'informations, consultez l'article MSDN sur le compte LocalSystem (en anglais).

De quelle manière ce problème concerne-t-il Internet Information Services (IIS) ?  
Les systèmes exécutant du code fourni par les utilisateurs dans IIS (Internet Information Services) pourraient être concernés. Par exemple des filtres et extensions ISAPI et du code ASP.NET s'exécutant en confiance totale (full trust) pourraient être concernés par cette vulnérabilité.

Dans les scénarios suivants, IIS n'est pas concerné :

• Installations par défaut d'IIS 5.1, IIS 6.0 et IIS 7.0
• ASP.NET configuré pour s'exécuter avec un niveau de confiance inférieur à confiance totale (full trust).

De quelle manière ce problème concerne-t-il SQL Server ?  
Les systèmes exécutant SQL Server pourraient être concernés si un utilisateur se voyait accorder des privilèges d'administration pour charger et exécuter du code. Un utilisateur possédant des privilèges d'administration SQL Server pourrait exécuter du code spécialement conçu et utiliser cette attaque. Toutefois, ce privilège n'est pas accordé par défaut.

Quelles autres applications pourraient être concernées par cette vulnérabilité ?  
Les systèmes exécutant tout processus avec SeImpersonatePrivilege qui charge et exécute du code fourni par l'utilisateur peuvent faire l'objet d'une attaque d'élévation des privilèges, comme décrit dans ce Bulletin de sécurité. Le paramètre SeImpersonatePrivilege est décrit dans l'Article 821546 de la Base de connaissances Microsoft.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Un attaquant réussissant à exploiter cette vulnérabilité pourrait exécuter du code spécialement conçu dans le contexte du compte NetworkService. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?  
Pour exploiter cette vulnérabilité, un attaquant doit d’abord ouvrir une session sur le système. L'attaquant pourrait alors exécuter une application spécialement conçue pour exploiter cette vulnérabilité et prendre le contrôle intégral du système affecté.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Les postes de travail et les serveurs Terminal Server sont les plus exposés. Les serveurs présentent plus de risques si des utilisateurs ne disposant pas d'autorisations d'administration sont autorisés à s'y connecter et à y exécuter des programmes. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

Tous les systèmes exécutant Windows XP Professionnel Service Pack 2 et Windows XP Professionnel Service Pack 3, ainsi que toutes les versions et éditions en cours de support de Windows Server 2003, Windows Vista et Windows Server 2008 sont susceptibles d'être concernés si Internet Information Services (IIS) ou SQL Server sont installés, configurés ou déployés dans un état vulnérable, tel que décrit dans ce Bulletin.

En outre, les systèmes Internet Information Services (IIS) permettant aux utilisateurs de charger du code sont les plus exposés. Les systèmes SQL Server sont exposés si des utilisateurs ont accès à des comptes privilégiés. Ceci peut inclure les environnements des hébergeurs Web ou similaires.

Que fait cette mise à jour ?  
Cette mise à jour corrige cette vulnérabilité en réduisant le niveau de privilège sur le jeton demandé par MSDTC.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro « Common Vulnerability and Exposure » CVE-2008-1436.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?  
Oui. Microsoft a connaissance d'attaques limitées et ciblées visant à exploiter cette vulnérabilité.

L'application de cette mise à jour de sécurité contribue-t-elle à la protection des clients du code publié qui tente d'exploiter cette vulnérabilité ?  
Oui. Cette mise à jour de sécurité corrige la vulnérabilité actuellement exploitée. Cette vulnérabilité a reçu le numéro « Common Vulnerability and Exposure » CVE-2008-1436.

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Pour exploiter cette vulnérabilité, l'attaquant doit pouvoir exécuter du code sur l'ordinateur local.

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

• IIS 6.0 - Configurer une identité de processus de travail (WPI) d'un pool d'applications afin d'utiliser un compte spécialement créé dans le Gestionnaire IIS et désactiver MSDTC

  Exécutez les étapes suivantes :

  1. Dans le Gestionnaire IIS, développez l'ordinateur local, développez Pools d'application, cliquez avec le bouton droit de la souris et sélectionnez Propriétés.
  2. Cliquez sur l'onglet Identité et cliquez sur Configurable. Dans les boîtes Nom d'utilisateur et Mot de passe, entrez le nom d'utilisateur et le mot de passe du compte sous lequel vous souhaitez faire fonctionner le processus de travail.
  3. Ajouter le compte d'utilisateur choisi au groupe « IIS_WPG ».

  Désactiver le Coordinateur de transactions distribuées (DTC) peut aider à protéger un système concerné des tentatives d'exploitation de cette vulnérabilité. Pour désactiver Coordinateur de transactions distribuées (DTC), procédez comme suit :

  1. Cliquez sur Démarrer, puis sur Panneau de configuration. Vous pouvez également pointer sur Paramètres, puis cliquer sur Panneau de configuration.
  2. Double-cliquez sur Outils d'administration. Vous pouvez également cliquer sur Basculer vers l'affichage classique, puis double-cliquer sur Outils d'administration.
  3. Double-cliquez sur Services.
  4. Double-cliquez sur Coordinateur de transactions distribuées.
  5. Dans la liste Type de démarrage, sélectionnez Désactivé.
  6. Cliquez sur Arrêter (s'il est démarré), puis sur OK.

  Vous pouvez également désactiver le service MSDTC en entrant la commande suivante à l'invite de commande :
  
  sc stop MSDTC & sc config MSDTC start= disabled

  Impact de cette solution de contournement : Gérer les comptes supplémentaires créés dans cette solution de contournement peut induire une charge de travail d'administration plus importante. En fonction de la nature des applications s'exécutant dans ce pool d'applications, leurs fonctionnalités peuvent être affectées. Un exemple est l'authentification Windows. Consultez l'Article 871179 de la Base de connaissances Microsoft. Désactiver MSDTC empêchera les applications d'utiliser des transactions distribuées. Désactiver MSDTC empêchera IIS 5.1 de s'exécuter sous Windows XP Professionnel Service Pack 2, Windows XP Professionnel Service Pack 3 et IIS 6.0 de s'exécuter sous le mode de compatibilité IIS 5.0. Désactiver MSDTC empêchera la configuration et l'exécution des applications COM+.

• IIS 7.0 - Configurer une identité de processus de travail (WPI) pour un pool d'applications dans le Gestionnaire IIS
  1. Dans le Gestionnaire IIS, développez nœud correspondant au serveur, cliquez sur Pools d'application, cliquez avec le bouton droit de la souris et sélectionnez Paramètres avancés....
  2. Localisez l'entrée Identité, cliquez sur le bouton … afin d'ouvrir la boîte de dialogue Identité du pool d'applications.
  3. Sélectionnez l'option Compte personnalisé et cliquez sur Paramétrer afin d'ouvrir la boîte de dialogue Définir les informations d'identification. Entrez le Nom de compte et Mot de passe choisis dans les champs Nom d'utilisateur et Mot de passe. Entrez le mot de passe dans le champ Confirmation du mot de passe, et cliquez sur OK.

  Remarque Les identités de pools d'applications sont ajoutées dynamiquement au groupe IIS_WPG dans IIS 7 et n'ont pas besoin d'être ajoutés manuellement.

  Impact de cette solution de contournement : Gérer les comptes supplémentaires créés dans cette solution de contournement peut induire une charge de travail d'administration plus importante. En fonction de la nature des applications s'exécutant dans ce pool d'applications, leurs fonctionnalités peuvent être affectées.

• IIS 7.0 - Configurer une identité de processus de travail (WPI) pour un pool d'applications en utilisant l'utilitaire ligne de commande APPCMD.exe
  1. À partir d'une invite de commandes avec privilèges élevés, positionnez-vous dans le répertoire %systemroot%\system32\inetsrv.
  2. Exécutez la commande APPCMD.exe en utilisant la syntaxe suivante où string est le nom du pool d'applications, où userName:string est le nom d'utilisateur du compte attribué au pool d'applications et où password:string est le mot de passe du compte.
     
     appcmd set config /section:applicationPools /
     [name='string'].processModel.identityType:SpecificUser /
     [name='string'].processModel.userName:string /
     [name='string'].processModel.password:string

  Remarque Les identités de pools d'applications sont ajoutées dynamiquement au groupe IIS_WPG dans IIS 7.0 et n'ont pas besoin d'être ajoutés manuellement.

  Impact de cette solution de contournement : Gérer les comptes supplémentaires créés dans cette solution de contournement peut induire une charge de travail d'administration plus importante. En fonction de la nature des applications s'exécutant dans ce pool d'applications, leurs fonctionnalités peuvent être affectées.

Quelle est la portée de cette vulnérabilité ?  
Il s’agit d’une vulnérabilité d’élévation de privilèges. Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait exécuter du code arbitraire avec les mêmes privilèges que le compte LocalSystem. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Quelle est la cause de cette vulnérabilité ?  
Cette vulnérabilité est due à la mauvaise isolation par le fournisseur WMI (Windows Management Instrumentation) des processus qui s'exécutent sous les comptes NetworkService et LocalService. Deux processus distincts s'exécutant sous le même compte ont un accès mutuel et complet à leurs ressources (manipulation de fichiers, clés de Registre, descripteurs, etc.). Dans certains cas, le processus hôte du fournisseur WMI possède des jetons SYSTEM (système). Si un attaquant accède à un ordinateur dans le contexte d'un compte NetworkService ou LocalService, il pourrait exécuter du code pour sonder les processus hôte du fournisseur WMI à la recherche de jetons SYSTEM (système). Dès qu'un jeton SYSTEM (système) est détecté, le code de l'attaquant pourrait l'utiliser pour obtenir des privilèges de niveau SYSTEM.

Qu'est-ce que WMI (Windows Management Instrumentation) ?  
WMI (Windows Management Instrumentation) est la technologie principale de gestion des systèmes d'exploitation Microsoft Windows. Elle permet de gérer, contrôler et surveiller les systèmes de manière cohérente et uniforme dans l'ensemble de votre entreprise. WMI permet aux administrateurs système d'interroger, de modifier et de contrôler les paramètres de configuration sur les ordinateurs de bureau et les serveurs, les applications, les réseaux et d'autres composants d'entreprise. Pour plus d'informations, consultez l'article Introduction aux scripts WMI (en anglais).

Qu'est-ce que le compte NetworkService ?  
NetworkService est un compte local prédéfini utilisé par le Gestionnaire de contrôle des services. Il possède des privilèges minimaux sur l'ordinateur local et agit pour le compte de l'ordinateur sur le réseau. Un service qui s'exécute dans le contexte du compte NetworkService présente les informations d'authentification de l'ordinateur aux serveurs distants. Pour plus d'informations, consultez l'article MSDN sur le compte NetworkService (en anglais).

Qu'est-ce que le compte LocalService ?  
LocalService est un compte local prédéfini utilisé par le Gestionnaire de contrôle des services. Il possède des privilèges minimaux sur l'ordinateur local et présente des informations d'authentification anonymes sur le réseau. Pour plus d'informations, consultez l'article MSDN sur le compte LocalService (en anglais).

Qu'est-ce que le compte LocalSystem ?  
LocalSystem est un compte local prédéfini utilisé par le Gestionnaire de contrôle des services. Il possède des privilèges étendus sur l'ordinateur local et agit pour le compte de l'ordinateur sur le réseau. Son jeton inclut les identifiants de sécurité (SID - Security Identifiers) NT AUTHORITY\SYSTEM et BUILTIN\Administrators ; ces comptes ont accès à la plupart des objets système. Un service qui s'exécute dans le contexte du compte LocalSystem hérite du contexte de sécurité du Gestionnaire de contrôle des services. La plupart des services n'ont pas besoin d'un niveau de privilège aussi élevé. Pour plus d'informations, consultez l'article MSDN sur le compte LocalSystem (en anglais).

De quelle manière ce problème concerne-t-il Internet Information Services (IIS) ?  
Les systèmes exécutant du code fourni par les utilisateurs dans IIS (Internet Information Services) pourraient être concernés. Par exemple des filtres et extensions ISAPI et du code ASP.NET s'exécutant en confiance totale (full trust) pourraient être concernés par cette vulnérabilité.

Dans les scénarios suivants, IIS n'est pas concerné :

• Installations par défaut d'IIS 5.1, IIS 6.0 et IIS 7.0
• ASP.NET configuré pour s'exécuter avec un niveau de confiance inférieur à confiance totale (full trust).

De quelle manière ce problème concerne-t-il SQL Server ?  
Les systèmes exécutant SQL Server pourraient être concernés si un utilisateur se voyait accorder des privilèges d'administration pour charger et exécuter du code. Un utilisateur possédant des privilèges d'administration SQL Server pourrait exécuter du code spécialement conçu et utiliser cette attaque. Toutefois, ce privilège n'est pas accordé par défaut.

Quels sont les fournisseurs WMI concernés par cette mise à jour ?
Une liste complète des fournisseurs WMI concernés par cette mise à jour est disponible dans l'Article 956572 de la Base de connaissances Microsoft.

Quelles autres applications pourraient être concernées par cette vulnérabilité ?  
Les systèmes exécutant tout processus avec SeImpersonatePrivilege qui charge et exécute du code fourni par l'utilisateur peuvent faire l'objet d'une attaque d'élévation des privilèges, comme décrit dans ce Bulletin de sécurité. Le paramètre SeImpersonatePrivilege est décrit dans l'Article 821546 de la Base de connaissances Microsoft.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code spécialement conçu dans le contexte des comptes NetworkService ou LocalService et accéder aux ressources des processus qui s'exécutent également sous NetworkService ou LocalService. Certains de ces processus pourraient élever leurs privilèges en LocalSystem et permettre à tout autre processus s'exécutant sous NetworkService ou LocalService d'élever également ses privilèges en LocalSystem. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?  
Pour exploiter cette vulnérabilité, un attaquant devrait tout d'abord inciter un utilisateur connecté à exécuter du code sur son système. L'attaquant pourrait alors exécuter une application spécialement conçue pour exploiter cette vulnérabilité et prendre le contrôle intégral du système affecté.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Les postes de travail et les serveurs Terminal Server sont les plus exposés. Les serveurs présentent plus de risques si des utilisateurs ne disposant pas d'autorisations d'administration suffisantes sont autorisés à y ouvrir une session et à y exécuter des programmes. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

Tous les systèmes exécutant Windows XP Professionnel Service Pack 2 et Windows XP Professionnel Service Pack 3, ainsi que toutes les versions et éditions en cours de support de Windows Server 2003, Windows Vista et Windows Server 2008 sont susceptibles d'être concernés si Internet Information Services (IIS) ou SQL Server sont installés, configurés ou déployés dans un état vulnérable, tel que décrit dans ce Bulletin.

En outre, les systèmes Internet Information Services (IIS) permettant aux utilisateurs de charger du code sont les plus exposés. Les systèmes SQL Server sont exposés si des utilisateurs ont accès à des comptes privilégiés. Ceci peut inclure les environnements des hébergeurs Web ou similaires.

Que fait cette mise à jour ?  
Cette mise à jour corrige cette vulnérabilité en isolant correctement les fournisseurs WMI pour garantir qu'ils sont invoqués de manière sécurisée.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro « Common Vulnerability and Exposure » CVE-2009-0078.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?  
Oui. Microsoft a connaissance d'attaques limitées et ciblées visant à exploiter cette vulnérabilité.

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Pour exploiter cette vulnérabilité, l'attaquant doit pouvoir exécuter du code sur l'ordinateur local.

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

• IIS 6.0 - Configurer une identité de processus de travail (WPI) d'un pool d'applications afin d'utiliser un compte spécialement créé dans le Gestionnaire IIS et désactiver MSDTC

  Exécutez les étapes suivantes :

  1. Dans le Gestionnaire IIS, développez l'ordinateur local, développez Pools d'application, cliquez avec le bouton droit de la souris et sélectionnez Propriétés.
  2. Cliquez sur l'onglet Identité et cliquez sur Configurable. Dans les boîtes Nom d'utilisateur et Mot de passe, entrez le nom d'utilisateur et le mot de passe du compte sous lequel vous souhaitez faire fonctionner le processus de travail.
  3. Ajouter le compte d'utilisateur choisi au groupe « IIS_WPG ».

  Désactiver le Coordinateur de transactions distribuées (DTC) peut aider à protéger un système concerné des tentatives d'exploitation de cette vulnérabilité. Pour désactiver Coordinateur de transactions distribuées (DTC), procédez comme suit :

  1. Cliquez sur Démarrer, puis sur Panneau de configuration. Vous pouvez également pointer sur Paramètres, puis cliquer sur Panneau de configuration.
  2. Double-cliquez sur Outils d'administration. Vous pouvez également cliquer sur Basculer vers l'affichage classique, puis double-cliquer sur Outils d'administration.
  3. Double-cliquez sur Services.
  4. Double-cliquez sur Coordinateur de transactions distribuées.
  5. Dans la liste Type de démarrage, sélectionnez Désactivé.
  6. Cliquez sur Arrêter (s'il est démarré), puis sur OK.

  Vous pouvez également désactiver le service MSDTC en entrant la commande suivante à l'invite de commande :
  
  sc stop MSDTC & sc config MSDTC start= disabled

  Impact de cette solution de contournement : Gérer les comptes supplémentaires créés dans cette solution de contournement peut induire une charge de travail d'administration plus importante. En fonction de la nature des applications s'exécutant dans ce pool d'applications, leurs fonctionnalités peuvent être affectées. Un exemple est l'authentification Windows. Consultez l'Article 871179 de la Base de connaissances Microsoft. Désactiver MSDTC empêchera les applications d'utiliser des transactions distribuées. Désactiver MSDTC empêchera IIS 5.1 de s'exécuter sous Windows XP Professionnel Service Pack 2, Windows XP Professionnel Service Pack 3 et IIS 6.0 de s'exécuter sous le mode de compatibilité IIS 5.0. Désactiver MSDTC empêchera la configuration et l'exécution des applications COM+.

• IIS 7.0 - Configurer une identité de processus de travail (WPI) pour un pool d'applications dans le Gestionnaire IIS
  1. Dans le Gestionnaire IIS, développez nœud correspondant au serveur, cliquez sur Pools d'application, cliquez avec le bouton droit de la souris et sélectionnez Paramètres avancés....
  2. Localisez l'entrée Identité, cliquez sur le bouton … afin d'ouvrir la boîte de dialogue Identité du pool d'applications.
  3. Sélectionnez l'option Compte personnalisé et cliquez sur Paramétrer afin d'ouvrir la boîte de dialogue Définir les informations d'identification. Entrez le Nom de compte et Mot de passe choisis dans les champs Nom d'utilisateur et Mot de passe. Entrez le mot de passe dans le champ Confirmation du mot de passe, et cliquez sur OK.

  Remarque Les identités de pools d'applications sont ajoutées dynamiquement au groupe IIS_WPG dans IIS 7 et n'ont pas besoin d'être ajoutés manuellement.

  Impact de cette solution de contournement : Gérer les comptes supplémentaires créés dans cette solution de contournement peut induire une charge de travail d'administration plus importante. En fonction de la nature des applications s'exécutant dans ce pool d'applications, leurs fonctionnalités peuvent être affectées.

• IIS 7.0 - Configurer une identité de processus de travail (WPI) pour un pool d'applications en utilisant l'utilitaire ligne de commande APPCMD.exe
  1. À partir d'une invite de commandes avec privilèges élevés, positionnez-vous dans le répertoire %systemroot%\system32\inetsrv.
  2. Exécutez la commande APPCMD.exe en utilisant la syntaxe suivante où string est le nom du pool d'applications, où userName:string est le nom d'utilisateur du compte attribué au pool d'applications et où password:string est le mot de passe du compte.
     
     appcmd set config /section:applicationPools /
     [name='string'].processModel.identityType:SpecificUser /
     [name='string'].processModel.userName:string /
     [name='string'].processModel.password:string

  Remarque Les identités de pools d'applications sont ajoutées dynamiquement au groupe IIS_WPG dans IIS 7.0 et n'ont pas besoin d'être ajoutés manuellement.

  Impact de cette solution de contournement : Gérer les comptes supplémentaires créés dans cette solution de contournement peut induire une charge de travail d'administration plus importante. En fonction de la nature des applications s'exécutant dans ce pool d'applications, leurs fonctionnalités peuvent être affectées.

Quelle est la portée de cette vulnérabilité ?  
Il s’agit d’une vulnérabilité d’élévation de privilèges. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code arbitraire avec des privilèges LocalSystem. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Quelle est la cause de cette vulnérabilité ?  
Cette vulnérabilité est liée à la mauvaise isolation par le service Serveur RPC (RPCSS) des processus qui s'exécutent sous les comptes NetworkService et LocalService.

Qu'est ce que le RPC ?  
Remote Procedure Call (RPC) est un protocole qui peut être utilisé par un programme pour solliciter un autre programme situé sur une autre machine sur un réseau. RPC participe à l'interopérabilité car le programme utilisant RPC n'a pas à connaître les protocoles réseaux qui gèrent la communication. Dans RPC, le programme appelant est le client et le programme fournissant un service est le serveur.

Qu'est-ce que le compte NetworkService ?  
NetworkService est un compte local prédéfini utilisé par le Gestionnaire de contrôle des services. Il possède des privilèges minimaux sur l'ordinateur local et agit pour le compte de l'ordinateur sur le réseau. Un service qui s'exécute dans le contexte du compte NetworkService présente les informations d'authentification de l'ordinateur aux serveurs distants. Pour plus d'informations, consultez l'article MSDN sur le compte NetworkService (en anglais).

Qu'est-ce que le compte LocalService ?  
LocalService est un compte local prédéfini utilisé par le Gestionnaire de contrôle des services. Il possède des privilèges minimaux sur l'ordinateur local et présente des informations d'authentification anonymes sur le réseau. Pour plus d'informations, consultez l'article MSDN sur le compte LocalService (en anglais).

Qu'est-ce que le compte LocalSystem ?  
LocalSystem est un compte local prédéfini utilisé par le Gestionnaire de contrôle des services. Il possède des privilèges étendus sur l'ordinateur local et agit pour le compte de l'ordinateur sur le réseau. Son jeton inclut les identifiants de sécurité (SID - Security Identifiers) NT AUTHORITY\SYSTEM et BUILTIN\Administrators ; ces comptes ont accès à la plupart des objets système. Un service qui s'exécute dans le contexte du compte LocalSystem hérite du contexte de sécurité du Gestionnaire de contrôle des services. La plupart des services n'ont pas besoin d'un niveau de privilège aussi élevé. Pour plus d'informations, consultez l'article MSDN sur le compte LocalSystem (en anglais).

De quelle manière ce problème concerne-t-il Internet Information Services (IIS) ?  
Les systèmes exécutant du code fourni par les utilisateurs dans IIS (Internet Information Services) pourraient être concernés. Par exemple des filtres et extensions ISAPI et du code ASP.NET s'exécutant en confiance totale (full trust) pourraient être concernés par cette vulnérabilité.

Dans les scénarios suivants, IIS n'est pas concerné :

• Installations par défaut d'IIS 5.1, IIS 6.0 et IIS 7.0
• ASP.NET configuré pour s'exécuter avec un niveau de confiance inférieur à confiance totale (full trust).

De quelle manière ce problème concerne-t-il SQL Server ?  
Les systèmes exécutant SQL Server pourraient être concernés si un utilisateur se voyait accorder des privilèges d'administration pour charger et exécuter du code. Un utilisateur possédant des privilèges d'administration SQL Server pourrait exécuter du code spécialement conçu et utiliser cette attaque. Toutefois, ce privilège n'est pas accordé par défaut.

Quelles autres applications pourraient être concernées par cette vulnérabilité ?  
Les systèmes exécutant tout processus avec SeImpersonatePrivilege qui charge et exécute du code fourni par l'utilisateur peuvent faire l'objet d'une attaque d'élévation des privilèges, comme décrit dans ce Bulletin de sécurité. Le paramètre SeImpersonatePrivilege est décrit dans l'Article 821546 de la Base de connaissances Microsoft.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code spécialement conçu dans le contexte des comptes NetworkService ou LocalService et accéder aux ressources des processus qui s'exécutent également sous NetworkService ou LocalService. Certains de ces processus pourraient élever leurs privilèges en LocalSystem et permettre à tout autre processus s'exécutant sous NetworkService ou LocalService d'élever également ses privilèges en LocalSystem. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?  
Pour exploiter cette vulnérabilité, un attaquant doit d’abord ouvrir une session sur le système. L'attaquant pourrait alors exécuter une application spécialement conçue pour exploiter cette vulnérabilité et prendre le contrôle intégral du système affecté.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Les postes de travail et les serveurs Terminal Server sont les plus exposés. Les serveurs présentent plus de risques si des utilisateurs ne disposant pas d'autorisations d'administration suffisantes sont autorisés à y ouvrir une session et à y exécuter des programmes. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

Tous les systèmes exécutant Windows XP Professionnel Service Pack 2, Windows XP Professionnel Service Pack 3, toutes les versions et éditions en cours de support de Windows Server 2003 sont susceptibles d'être exposés si Internet Information Services (IIS) ou SQL Server sont installés, configurés ou déployés dans un état vulnérable, tel que décrit dans ce Bulletin.

En outre, les systèmes Internet Information Services (IIS) permettant aux utilisateurs de charger du code sont les plus exposés. Les systèmes SQL Server sont exposés si des utilisateurs ont accès à des comptes privilégiés. Ceci peut inclure les environnements des hébergeurs Web ou similaires.

Que fait cette mise à jour ?  
Cette mise à jour corrige cette vulnérabilité en isolant correctement les processus qui s'exécutent sous les comptes NetworkService et LocalService.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro « Common Vulnerability and Exposure » CVE-2009-0079.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?  
Oui. Microsoft a connaissance d'attaques limitées et ciblées visant à exploiter cette vulnérabilité.

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Pour exploiter cette vulnérabilité, l'attaquant doit pouvoir exécuter du code sur l'ordinateur local. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les mêmes droits d'utilisateur que le service LocalSystem.

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

• IIS 6.0 - Configurer une identité de processus de travail (WPI) d'un pool d'applications afin d'utiliser un compte spécialement créé dans le Gestionnaire IIS et désactiver MSDTC

  Exécutez les étapes suivantes :

  1. Dans le Gestionnaire IIS, développez l'ordinateur local, développez Pools d'application, cliquez avec le bouton droit de la souris et sélectionnez Propriétés.
  2. Cliquez sur l'onglet Identité et cliquez sur Configurable. Dans les boîtes Nom d'utilisateur et Mot de passe, entrez le nom d'utilisateur et le mot de passe du compte sous lequel vous souhaitez faire fonctionner le processus de travail.
  3. Ajouter le compte d'utilisateur choisi au groupe « IIS_WPG ».

  Désactiver le Coordinateur de transactions distribuées (DTC) peut aider à protéger un système concerné des tentatives d'exploitation de cette vulnérabilité. Pour désactiver Coordinateur de transactions distribuées (DTC), procédez comme suit :

  1. Cliquez sur Démarrer, puis sur Panneau de configuration. Vous pouvez également pointer sur Paramètres, puis cliquer sur Panneau de configuration.
  2. Double-cliquez sur Outils d'administration. Vous pouvez également cliquer sur Basculer vers l'affichage classique, puis double-cliquer sur Outils d'administration.
  3. Double-cliquez sur Services.
  4. Double-cliquez sur Coordinateur de transactions distribuées.
  5. Dans la liste Type de démarrage, sélectionnez Désactivé.
  6. Cliquez sur Arrêter (s'il est démarré), puis sur OK.

  Vous pouvez également désactiver le service MSDTC en entrant la commande suivante à l'invite de commande :
  
  sc stop MSDTC & sc config MSDTC start= disabled

  Impact de cette solution de contournement : Gérer les comptes supplémentaires créés dans cette solution de contournement peut induire une charge de travail d'administration plus importante. En fonction de la nature des applications s'exécutant dans ce pool d'applications, leurs fonctionnalités peuvent être affectées. Un exemple est l'authentification Windows. Consultez l'Article 871179 de la Base de connaissances Microsoft. Désactiver MSDTC empêchera les applications d'utiliser des transactions distribuées. Désactiver MSDTC empêchera IIS 5.1 de s'exécuter sous Windows XP Professionnel Service Pack 2, Windows XP Professionnel Service Pack 3 et IIS 6.0 de s'exécuter sous le mode de compatibilité IIS 5.0. Désactiver MSDTC empêchera la configuration et l'exécution des applications COM+.

• IIS 7.0 - Configurer une identité de processus de travail (WPI) pour un pool d'applications dans le Gestionnaire IIS
  1. Dans le Gestionnaire IIS, développez nœud correspondant au serveur, cliquez sur Pools d'application, cliquez avec le bouton droit de la souris et sélectionnez Paramètres avancés....
  2. Localisez l'entrée Identité, cliquez sur le bouton … afin d'ouvrir la boîte de dialogue Identité du pool d'applications.
  3. Sélectionnez l'option Compte personnalisé et cliquez sur Paramétrer afin d'ouvrir la boîte de dialogue Définir les informations d'identification. Entrez le Nom de compte et Mot de passe choisis dans les champs Nom d'utilisateur et Mot de passe. Entrez le mot de passe dans le champ Confirmation du mot de passe, et cliquez sur OK.

  Remarque Les identités de pools d'applications sont ajoutées dynamiquement au groupe IIS_WPG dans IIS 7 et n'ont pas besoin d'être ajoutés manuellement.

  Impact de cette solution de contournement : Gérer les comptes supplémentaires créés dans cette solution de contournement peut induire une charge de travail d'administration plus importante. En fonction de la nature des applications s'exécutant dans ce pool d'applications, leurs fonctionnalités peuvent être affectées.

• IIS 7.0 - Configurer une identité de processus de travail (WPI) pour un pool d'applications en utilisant l'utilitaire ligne de commande APPCMD.exe
  1. À partir d'une invite de commandes avec privilèges élevés, positionnez-vous dans le répertoire %systemroot%\system32\inetsrv.
  2. Exécutez la commande APPCMD.exe en utilisant la syntaxe suivante où string est le nom du pool d'applications, où userName:string est le nom d'utilisateur du compte attribué au pool d'applications et où password:string est le mot de passe du compte.
     
     appcmd set config /section:applicationPools /
     [name='string'].processModel.identityType:SpecificUser /
     [name='string'].processModel.userName:string /
     [name='string'].processModel.password:string

  Remarque Les identités de pools d'applications sont ajoutées dynamiquement au groupe IIS_WPG dans IIS 7.0 et n'ont pas besoin d'être ajoutés manuellement.

  Impact de cette solution de contournement : Gérer les comptes supplémentaires créés dans cette solution de contournement peut induire une charge de travail d'administration plus importante. En fonction de la nature des applications s'exécutant dans ce pool d'applications, leurs fonctionnalités peuvent être affectées.

Quelle est la portée de cette vulnérabilité ?  
Il s’agit d’une vulnérabilité d’élévation de privilèges. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code arbitraire avec des privilèges LocalSystem. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Quelle est la cause de cette vulnérabilité ?  
Cette vulnérabilité est liée au mauvais positionnement des listes de contrôle d'accès sur les threads de la classe ThreadPool courante.

Qu'est-ce que la classe ThreadPool de Windows ?  
La classe ThreadPool de Windows fournit un pool de threads pouvant être utilisés pour poster des éléments de travail, traiter des E/S asynchrones, rester en attente au nom des autres threads et traiter des minuteurs. De nombreuses applications créent des threads qui passent un certain temps à l'état de veille, dans l'attente d'un événement. D'autres threads pourraient passer en état de veille uniquement pour être réactivés périodiquement afin de détecter un changement ou des informations de mise à jour d'état. La mise en pool des threads vous permet d'utiliser les threads plus efficacement en fournissant à votre application un pool de threads de travail qui sont gérés par le système. Un thread unique contrôle l'état de plusieurs opérations d'attente concernant le pool de threads. Lorsqu'une opération d'attente se termine, un thread de travail du pool exécute la fonction de rappel correspondante. Pour plus d'informations, consultez l'article MSDN Classe ThreadPool.

Qu'est-ce qu'une liste de contrôle d'accès (ACL) ?  
Une liste de contrôle d'accès (ACL) est une liste de protections de sécurité s'appliquant à un objet. Un objet peut être un fichier, un processus, un événement, ou tout autre élément doté d'un descripteur de sécurité. Une entrée dans une ACL est une entrée de contrôle d'accès (ACE). Il existe deux types de listes de contrôle d'accès, discrétionnaire et système. Chaque entrée de contrôle d'accès (ACE) identifie des droits d'accès autorisés, refusés ou audités pour ce tiers de confiance. Pour plus d'informations, consultez l'article MSDN dédié aux listes de contrôle d'accès (en anglais).

Qu'est-ce que le compte NetworkService ?  
NetworkService est un compte local prédéfini utilisé par le Gestionnaire de contrôle des services. Il possède des privilèges minimaux sur l'ordinateur local et agit pour le compte de l'ordinateur sur le réseau. Un service qui s'exécute dans le contexte du compte NetworkService présente les informations d'authentification de l'ordinateur aux serveurs distants. Pour plus d'informations, consultez l'article MSDN sur le compte NetworkService (en anglais).

Qu'est-ce que le compte LocalService ?  
LocalService est un compte local prédéfini utilisé par le Gestionnaire de contrôle des services. Il possède des privilèges minimaux sur l'ordinateur local et présente des informations d'authentification anonymes sur le réseau. Pour plus d'informations, consultez l'article MSDN sur le compte LocalService (en anglais).

Qu'est-ce que le compte LocalSystem ?  
LocalSystem est un compte local prédéfini utilisé par le Gestionnaire de contrôle des services. Il possède des privilèges étendus sur l'ordinateur local et agit pour le compte de l'ordinateur sur le réseau. Son jeton inclut les identifiants de sécurité (SID - Security Identifiers) NT AUTHORITY\SYSTEM et BUILTIN\Administrators ; ces comptes ont accès à la plupart des objets système. Un service qui s'exécute dans le contexte du compte LocalSystem hérite du contexte de sécurité du Gestionnaire de contrôle des services. La plupart des services n'ont pas besoin d'un niveau de privilège aussi élevé. Pour plus d'informations, consultez l'article MSDN sur le compte LocalSystem (en anglais).

De quelle manière ce problème concerne-t-il Internet Information Services (IIS) ?  
Les systèmes exécutant du code fourni par les utilisateurs dans IIS (Internet Information Services) pourraient être concernés. Par exemple des filtres et extensions ISAPI et du code ASP.NET s'exécutant en confiance totale (full trust) pourraient être concernés par cette vulnérabilité.

Dans les scénarios suivants, IIS n'est pas concerné :

• Installations par défaut d'IIS 5.1, IIS 6.0 et IIS 7.0
• ASP.NET configuré pour s'exécuter avec un niveau de confiance inférieur à confiance totale (full trust).

De quelle manière ce problème concerne-t-il SQL Server ?  
Les systèmes exécutant SQL Server pourraient être concernés si un utilisateur se voyait accorder des privilèges d'administration pour charger et exécuter du code. Un utilisateur possédant des privilèges d'administration SQL Server pourrait exécuter du code spécialement conçu et utiliser cette attaque. Toutefois, ce privilège n'est pas accordé par défaut.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code spécialement conçu dans le contexte des comptes NetworkService ou LocalService et accéder aux ressources des processus qui s'exécutent également sous NetworkService ou LocalService. Certains de ces processus pourraient élever leurs privilèges en LocalSystem et permettre à tout autre processus s'exécutant sous NetworkService ou LocalService d'élever également ses privilèges en LocalSystem. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?  
Pour exploiter cette vulnérabilité, un attaquant doit d’abord ouvrir une session sur le système. L'attaquant pourrait alors exécuter une application spécialement conçue pour exploiter cette vulnérabilité et prendre le contrôle intégral du système affecté.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Les postes de travail et les serveurs Terminal Server sont les plus exposés. Les serveurs présentent plus de risques si des utilisateurs ne disposant pas d'autorisations d'administration suffisantes sont autorisés à y ouvrir une session et à y exécuter des programmes. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

Tous les systèmes exécutant toutes les éditions en cours de support de Windows Vista et Windows Server 2008 sont susceptibles d'être exposés si Internet Information Services (IIS) est activé ou si SQL Server est installé et configuré ou déployé dans un état vulnérable, tel que décrit dans ce Bulletin.

En outre, les systèmes Internet Information Services (IIS) permettant aux utilisateurs de charger du code sont les plus exposés. Les systèmes SQL Server sont exposés si des utilisateurs ont accès à des comptes privilégiés. Ceci peut inclure les environnements des hébergeurs Web ou similaires.

Que fait cette mise à jour ?  
Cette mise à jour corrige cette vulnérabilité en corrigeant les ACL sur les threads du pool de threads.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro « Common Vulnerability and Exposure » CVE-2009-0080.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?  
Oui. Microsoft a connaissance d'attaques limitées et ciblées visant à exploiter cette vulnérabilité.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Remarque : Pour Windows XP Professionnel Édition x64, cette mise à jour de sécurité est identique à celle de Windows Server 2003 Édition x64.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.