Bulletin de sécurité Microsoft MS09-013 - Critique

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Aucune des éditions d'Internet Explorer en cours de support n'est concernée par cette vulnérabilité car les services HTTP Windows ne sont pas utilisés par ce logiciel.

Microsoft n'a identifié aucune solution de contournement pour cette vulnérabilité.

Quelle est la portée de cette vulnérabilité ?  
Il s'agit d'une vulnérabilité d'exécution de code à distance. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Un attaquant pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou bien créer de nouveaux comptes avec les mêmes droits d'utilisateur que le service ou l'application qui appelle l'API WinHTTP pour se connecter au serveur Web de l'attaquant.

Cette vulnérabilité concerne les composants Windows et les applications tierces qui utilisent les services HTTP Windows et sont configurés pour se connecter à des serveurs Web distants non fiables.

Quelle est la cause de cette vulnérabilité ?  
Cette vulnérabilité est causée par l'absence de validation d'un paramètre renvoyé par un serveur Web distant. Ceci pourrait entraîner l'exécution de code arbitraire.

Que sont les services HTTP Windows ?  
Les services HTTP Windows (WinHTTP) fournissent aux développeurs une API HTTP cliente pour envoyer des requêtes aux serveurs Web via le protocole HTTP. WinHTTP peut être utilisé à la fois par les composants Microsoft Windows et les logiciels tiers. WinHTTP est utilisé par le service Plug-and-Play universel (UPnP).

Qu'est-ce que le Plug-and-Play universel (UPnP) ?  
Le Plug-and-Play universel (UPnP) est une fonctionnalité permettant aux périphériques d'un réseau de détecter d'autres périphériques et de savoir comment les utiliser. Le Plug-and-Play universel (UPnP) est comparable à la fonctionnalité plug-and-play (PnP) que la plupart des utilisateurs de Windows connaissent déjà. Le Plug-and-Play (PnP) permet au système d'exploitation de détecter du nouveau matériel dès qu'il est ajouté à un système. Par exemple, lorsque vous ajoutez une nouvelle souris sur votre ordinateur, le plug-and-play permet à Windows de la détecter, de charger les pilotes nécessaires et de commencer son utilisation. Le Plug-and-Play universel (UPnP) étend ce concept aux périphériques d'un réseau, par opposition aux périphériques d'un système local. Le Plug-and-Play universel (UPnP) détecte les autres périphériques sur un réseau et détermine comment les utiliser. Par exemple, un ordinateur peut utiliser le Plug-and-Play universel (UPnP) pour détecter si des imprimantes sont présentes sur le réseau et savoir comment les utiliser.

Qu'est-ce que le protocole SSDP (Simple Service Discovery Protocol) ?  
La découverte de périphérique est le processus qui permet aux ordinateurs compatibles Plug-and-Play universel (UPnP) d'être informés de la disponibilité des périphériques qu'ils peuvent utiliser et de savoir quelles requêtes leur envoyer. Lorsqu'un ordinateur compatible Plug-and-Play universel (UPnP) démarre, des périphériques qu'il peut utiliser peuvent déjà se trouver sur le réseau. Pour le savoir, l'ordinateur envoie une requête (appelée directive M-SEARCH), demandant que tout périphérique compatible Plug-and-Play universel (UPnP) du sous-réseau lui réponde directement et lui fournisse des informations sur son utilisation.

De même, lorsqu'un périphérique prenant en charge le Plug-and-Play universel (UPnP) (tel qu'une imprimante) démarre, certains ordinateurs compatibles Plug-and-Play universel (UPnP) du réseau sont susceptibles de l'utiliser. Le périphérique diffuse un message (appelé directive NOTIFY) à tous les ordinateurs du sous-réseau, annonçant sa présence sur le réseau et invitant les ordinateurs à l'utiliser.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Un attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits d'utilisateur que le service ou l'application qui appelle l'API WinHTTP pour se connecter au serveur Web de l'attaquant. Les applications s'exécutant sous des comptes configurés pour avoir moins de droits d'utilisateur seraient moins affectées que les applications s'exécutant sous des comptes avec droits d'administrateur.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?  
Un attaquant devrait forcer ou entraîner un programme utilisant des services HTTP Windows à se connecter à son serveur Web malveillant. Il est important de noter que le service Plug-and-Play universel (UPnP) utilise les bibliothèques WinHTTP. Lorsque ce service est activé, les utilisateurs malveillants présents sur le sous-réseau local peuvent répondre aux requêtes SSDP et faire en sorte que le service UPnP se connecte via WinHTTP à un hôte malveillant qui pourrait alors exploiter cette vulnérabilité. Le service UPnP s'exécute sous le compte LocalService, qui est un compte avec privilèges limités.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Les postes de travail et les serveurs Terminal Server sont les plus exposés. Les serveurs pourraient être plus exposés si les administrateurs autorisent les utilisateurs à ouvrir une session sur ces serveurs et à y exécuter des programmes. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

Que fait cette mise à jour ?  
Cette mise à jour supprime la vulnérabilité en modifiant la façon dont les services HTTP Windows traitent l'erreur permettant l'exploitation.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?  
Non. Lors de la première publication de ce Bulletin, Microsoft n’avait reçu aucune information indiquant que cette vulnérabilité avait été utilisée pour attaquer des clients, et n’avait pas la connaissance de la publication d’un tel code.

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Aucune des éditions d'Internet Explorer en cours de support n'est concernée par cette vulnérabilité car les services HTTP Windows ne sont pas utilisés par ce logiciel.

Microsoft n'a identifié aucune solution de contournement pour cette vulnérabilité.

Quelle est la portée de cette vulnérabilité ?  
Cette vulnérabilité d'usurpation existe dans les services HTTP Windows. Combinée à d'autres attaques, comme une usurpation DNS, ceci pourrait permettre à un attaquant d'usurper le certificat numérique d'un site Web pour toute application utilisant des services HTTP Windows.

Quelle est la cause de cette vulnérabilité ?  
Lorsqu'une application fait appel aux services HTTP Windows pour établir une connexion à un serveur Web distant, WinHTTP valide uniquement le nom de domaine complet de l'URL par rapport au certificat du site Web original auquel l'hôte a tenté de se connecter. En combinaison avec une usurpation DNS spécifique, la connexion pourrait être redirigée vers un serveur Web différent ayant un certificat valide pour lui-même, mais pas pour la page Web à laquelle WinHTTP tentait initialement de se connecter. La combinaison de l'usurpation DNS et de cette vulnérabilité pourrait mener WinHTTP à accepter le certificat du serveur Web distant à tort. Puisque WinHTTP dépend de l'application en ce qui concerne l'interaction avec l'utilisateur, l'utilisateur peut ne pas être averti de cette incohérence.

Que sont les services HTTP Windows ?  
Les services HTTP Windows (WinHTTP) fournissent aux développeurs une API HTTP cliente pour envoyer des requêtes aux serveurs HTTP via le protocole HTTP.

Qu'est-ce qu'un certificat numérique ?  
Le certificat numérique est une information d'authentification courante utilisée pour indiquer l'identité. Une organisation de confiance attribue un certificat à un individu ou une entité, sujet de ce certificat. L'organisation de confiance qui publie le certificat est une Autorité de certification (CA) appelée émetteur de certificat. Une autorité de certification digne de confiance publiera un certificat uniquement après avoir vérifié l'identité du sujet du certificat.

Qu'est-ce qu'une usurpation DNS ?  
DNS (Domain Name System) est l'une des suites normalisées de protocoles qui utilisent le protocole TCP/IP. DNS est mis en œuvre grâce à deux composants logiciel : le serveur DNS et le client DNS. Les deux composants sont exécutés comme applications d'arrière-plan. Les ressources réseau sont identifiées par des adresses IP numériques mais ces adresses IP sont difficiles à mémoriser par les utilisateurs du réseau. La base de données DNS contient des enregistrements qui font correspondre des noms alphanumériques aux adresses IP utilisées par ces ressources pour la communication. De cette façon, le système DNS agit comme un aide-mémoire, rendant les ressources réseau plus faciles à mémoriser par les utilisateurs du réseau. Pour obtenir plus d'informations et pour afficher des diagrammes logiques illustrant le fonctionnement de DNS avec d'autres technologies Windows, consultez l'article TechNet Qu'est-ce DNS ? (en anglais).

L'usurpation DNS comprend divers types d'attaques au cours desquelles des réponses DNS inexactes sont introduites dans le système DNS par un tiers. Une telle attaque peut entraîner à résoudre un nom de domaine ou d'hôte en une adresse IP non définie par les propriétaires de ce nom. Un hôte pourrait donc être entraîné à se connecter à un serveur tiers, potentiellement malveillant.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Un attaquant pourrait imiter un site Web sécurisé et proposer du contenu malveillant à l'application via les services HTTP Windows, qui lui feraient confiance comme s'il s'agissait d'un site Web sécurisé.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?  
Un attaquant devrait combiner cette vulnérabilité avec une usurpation DNS ou une attaque similaire pour rediriger la tentative de connexion vers un serveur sous son contrôle. Il proposerait alors un certificat valide pour son site Web qui serait validé à tort par les services HTTP Windows comme celui du site Web auquel l'utilisateur souhaitait se connecter.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Les postes de travail et les serveurs Terminal Server sont les plus exposés. Les serveurs pourraient être plus exposés si les administrateurs autorisent les utilisateurs à ouvrir une session sur ces serveurs et à y exécuter des programmes. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

Que fait cette mise à jour ?  
La mise à jour supprime la vulnérabilité en modifiant la façon dont les services HTTP Windows valident les certificats d'un site Web sécurisé.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?  
Non. Lors de la première publication de ce Bulletin, Microsoft n’avait reçu aucune information indiquant que cette vulnérabilité avait été utilisée pour attaquer des clients, et n’avait pas la connaissance de la publication d’un tel code.

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Pour une attaque Web, l'attaquant devrait héberger un site Web qui contiendrait une page Web spécialement conçue pour exploiter cette vulnérabilité. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent des contenus ou des annonces provenant d'utilisateurs pourraient contenir un contenu malveillant susceptible d'exploiter cette vulnérabilité. Cependant, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Il devrait y attirer l’utilisateur, généralement en l’incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.
• Tout attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.
• Le profil du pare-feu Windows de toutes les éditions en cours de support de Windows Vista et Windows Server 2008 est par défaut défini sur public, ce qui réduit l'exposition à cette vulnérabilité : le pare-feu bloque le trafic SMB. Le vecteur d'attaque le plus courant serait SMB puisque le client devrait exécuter un service acceptant l'authentification NTLM afin de réussir à renvoyer les informations d'authentification.

Microsoft n'a identifié aucune solution de contournement pour cette vulnérabilité.

Quelle est la portée de cette vulnérabilité ?  
Il s'agit d'une vulnérabilité d'exécution de code à distance. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Ce problème concerne également Internet Explorer et les API Internet Windows. Microsoft recommande aux utilisateurs d'Internet Explorer d'installer la mise à jour de sécurité fournie par le Bulletin MS09-014, Mise à jour de sécurité cumulative pour Internet Explorer (963027).

Quelle est la cause de cette vulnérabilité ?  
Les services HTTP Windows ne souscrivent pas correctement aux protections contre la réflexion des informations d'identification NTLM qui empêchent que les informations d'identification de l'utilisateur ne soient répétées et utilisées contre lui.

Que sont les services HTTP de Microsoft Windows ?  
Les services HTTP Windows (WinHTTP) fournissent aux développeurs une API HTTP cliente pour envoyer des requêtes aux serveurs HTTP via le protocole HTTP.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Un attaquant pourrait obtenir les droits de l'utilisateur connecté et effectuer toutes les opérations autorisées par les privilèges de l'utilisateur connecté. Si un utilisateur a ouvert une session avec des privilèges d'administrateur, un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral d'un système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?  
Cette vulnérabilité nécessite qu'un utilisateur possédant une version concernée Windows HTTP Services accède à un serveur malveillant. Un attaquant devrait héberger un serveur Web spécialement conçu qui capturerait les informations d'authentification NTLM de l'utilisateur. L'attaquant réutiliserait alors ces informations d'authentification sur l'ordinateur distant de l'utilisateur qui accepterait l'authentification NTLM. Un attaquant n'aurait aucun moyen d'obliger les utilisateurs à se connecter à un serveur malveillant. Il devrait y attirer l’utilisateur, généralement en l’incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Les postes de travail et les serveurs Terminal Server sont les plus exposés. Les serveurs pourraient être plus exposés si les administrateurs autorisent les utilisateurs à ouvrir une session sur ces serveurs et à y exécuter des programmes. Néanmoins, les meilleures pratiques recommandent fortement de ne pas autoriser cela.

Que fait cette mise à jour ?  
Cette mise à jour de sécurité corrige la vulnérabilité en garantissant que les services HTTP Windows utilisent les mécanismes de protection d'authentification de Windows.

Pourquoi cette vulnérabilité et la vulnérabilité liée à la réflexion des informations d'identification WinINet ont reçu le même numéro CVE (CVE-2009-0550) dans le Bulletin MS09-014, Mise à jour de sécurité cumulative pour Internet Explorer (963027) ?  
La référence CVE-2009-0550 concerne à la fois WinINet, lorsque utilisé par Internet Explorer, et les services HTTP Windows, en tant que composant du système d'exploitation Windows. Microsoft recommande aux utilisateurs d'Internet Explorer d'installer également la mise à jour de sécurité fournie par le Bulletin MS09-014, Mise à jour de sécurité cumulative pour Internet Explorer (963027).

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro « Common Vulnerability and Exposure » CVE-2009-0550.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d’une éventuelle exploitation de cette vulnérabilité ?  
Non. Lors de la première publication de ce Bulletin, Microsoft n’avait reçu aucune information indiquant que cette vulnérabilité avait été utilisée pour attaquer des clients, et n’avait pas la connaissance de la publication d’un tel code.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Remarque : Pour Windows XP Professionnel Édition x64, cette mise à jour de sécurité est identique à celle de Windows Server 2003 Édition x64.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.