Bulletin de sécurité Microsoft MS09-035 - Modéré

Pourquoi ce Bulletin a-t-il été mis à jour le 12 janvier 2010 ?
Microsoft a réédité ce Bulletin pour ajouter Windows Embedded CE 6.0 à la liste des logiciels concernés. La mise à jour pour Windows Embedded CE 6.0 (KB974616) est une mise à jour cumulative qui est uniquement disponible à partir du Centre de téléchargement Microsoft. Les clients utilisant la plate-forme Windows Embedded CE 6.0 devraient envisager d'appliquer cette mise à jour cumulative. Cette réédition ne concerne aucun autre package de mise à jour.

Pourquoi ce Bulletin a-t-il été mis à jour le 8 septembre 2009 ?  
Ce Bulletin a été mis à jour pour communiquer que la section « Problèmes connus concernant cette mise à jour de sécurité » dans l'Article 969706 de la Base de connaissances Microsoft associé a été mise à jour pour modifier le numéro de problème connu de KB974223 à KB974479, afin de proposer une mise à jour non relative à la sécurité pour corriger le problème. Les utilisateurs de Microsoft Visual Studio 2008 Service Pack 1 n'ayant pas installé la mise à jour de sécurité décrite dans ce Bulletin recevront automatiquement la mise à jour de sécurité et la mise à jour non relative à la sécurité via Microsoft Update. La mise à jour non relative à la sécurité sera automatiquement proposée via Windows Update aux utilisateurs de Microsoft Visual Studio 2008 Service Pack 1 ayant déjà installé la mise à jour de sécurité. Les utilisateurs de Microsoft Visual Studio 2008 Service Pack 1 ayant déjà installé la mise à jour de sécurité n'ont pas besoin de réinstaller la mise à jour de sécurité et doivent seulement installer la mise à jour non relative à la sécurité s'ils rencontrent les problèmes décrits dans KB974479.

Pourquoi ce Bulletin a-t-il été réédité le 11 août 2009 ?
Microsoft a réédité ce Bulletin pour proposer de nouvelles mises à jour pour les plates-formes suivantes :

• Microsoft Visual Studio 2005 Service Pack 1 (KB973673)
• Microsoft Visual Studio 2008 (KB973674)
• Microsoft Visual Studio 2008 Service Pack 1 (KB973675)

Les nouvelles mises à jour de sécurité sont destinées aux développeurs utilisant Visual Studio pour créer des composants et des contrôles pour les applications mobiles utilisant ATL for Smart Devices. Tous les développeurs Visual Studio doivent installer ces nouvelles mises à jour afin de pouvoir utiliser Visual Studio pour créer des composants et des contrôles non vulnérables aux problèmes signalés.

Pour plus d'informations concernant ce problème, consultez l'Article 969706 de la Base de connaissances Microsoft.

Pourquoi ce Bulletin a-t-il été mis à jour le 4 août 2009 ?  
Ce Bulletin a été mis à jour afin d'indiquer que la section « Problèmes connus concernant cette mise à jour de sécurité » de l'Article 969706 de la Base de connaissances Microsoft associé a été mise à jour et que la logique de détection des mises à jour des packages KB973923 et KB973924 a été mise à jour pour corriger un problème de resuggestion de package. La logique de détection d'origine déterminait si la mise à jour devait être installée en vérifiant si cette dernière était déjà installée. Les packages Visual C++ Redistributable Package (KB973544, KB973551, KB973552), disponibles auprès du Centre de téléchargement Microsoft, sont un sur-ensemble complet des packages de mise à jour ATL (KB973923, KB973924) correspondants, disponibles uniquement auprès de Microsoft Update. Les clients ayant déjà installé la version mise à jour de Visual C++ Redistributable Package n'ont pas besoin d'installer les packages de mise à jour ATL correspondants. Les modifications de la logique de détection sont prévues à cet effet et ne proposent pas de nouveau les packages de mise à jour ATL lorsque la version corrigée correspondante de la mise à jour de Visual C++ Redistribuable est déjà installée. Une nouvelle entrée a également été ajoutée à la section « Forum aux questions concernant cette mise à jour de sécurité » pour mieux définir la différence entre les packages Visual C++ Redistributable Packages et les autres mises à jour de Visual Studio. Les entreprises qui n'utilisent pas Microsoft Update pour le déploiement des mises à jour et devant déployer les mises à jour proposées par ce Bulletin selon une autre méthode peuvent télécharger et déployer tous les packages Visual C++ Redistributable Packages puisque il s'agit d'un sur-ensemble complet des packages de mise à jour ATL correspondants.

Quelle est la différence entre les packages Visual C++ Redistributable Packages et les autres mises à jour de Visual Studio ?  
Les packages Visual C++ Redistributable Packages sont des versions complètes de ce produit, pouvant être redistribuées avec leurs applications. Les clients devant fournir Visual C++ Redistributable doivent choisir ces packages et les lier ou les enchainer dans leurs installations. Les autres mises à jour de Visual Studio sont disponibles pour les clients ayant déjà installé une version antérieure de Visual C++ Redistribuable ou Visual Studio. Ces packages de mise à jour sont proposés aux clients par le biais de Microsoft Update et ne seront applicables que si une version précédente de Visual C+ + Redistribuable ou Visual Studio est présente.

Pourquoi les numéros d'article des mises à jour du Centre de téléchargement Microsoft pour les packages Visual C++ Redistributable Package diffèrent-ils des numéros d'article des mises à jour SMS, SCCM, WSUS et MU ?  
Les versions complètes des packages Visual C++ 2005 Redistributable Package et Visual C++ 2008 Redistributable Package corrigés (KB973544, KB973551 et KB973552) sont répertoriées sur le Centre de téléchargement Microsoft uniquement car il s'agit de nouvelles versions complètes de ces produits. Les mises à jour répertoriées sur SMS, SCCM, WSUS et MU (KB973923, KB9739234) sont des mises à jour destinées uniquement aux clients ayant installé auparavant des versions vulnérables des packages Visual C++ Redistributable Package. Ces mises à jour ne sont pas les versions disponibles sur le Centre de téléchargement. Microsoft recommande à ses clients de ne pas redistribuer des versions autres que les versions complètes qui peuvent être téléchargées à partir du Centre de téléchargement Microsoft (KB973544, KB973551 et KB973552).

Pourquoi cette mise à jour de sécurité a-t-elle été publiée hors cycle ?  
Cette mise à jour de sécurité est publiée hors cycle pour corriger des problèmes révélés dans l'Avis de sécurité Microsoft (973882) « Des vulnérabilités dans Microsoft ATL (Active Template Library) pourraient permettre l'exécution de code à distance ».

Comment ce Bulletin est-il lié aux vulnérabilités décrites dans l'Avis de sécurité Microsoft (973882) ?
Ce Bulletin corrige les vulnérabilités dans la version publique d'ATL (Active Template Library). Les vulnérabilités dans la version privée d'ATL sont décrites dans l'Avis de sécurité Microsoft (973882).

S'il s'agit de vulnérabilités d'exécution de code à distance, pourquoi ce Bulletin est-il de niveau « modéré » ?  
Ce Bulletin est de niveau « modéré », car Microsoft Visual Studio, par défaut, n'est pas affecté par ces vulnérabilités. Les contrôles et les composants créés à l'aide de l'ATL affectée sont vulnérables, et le cas échéant, sont de niveau « critique » ou « modéré » selon le type de vulnérabilité présente dans le contrôle ou le composant.

Les utilisateurs de Visual Studio sont-ils directement affectés par ces vulnérabilités ?  
Non. La présence de Visual Studio sur votre système ne vous rend pas vulnérable à ce problème.

La mise à jour associée à ce Bulletin est destinée aux développeurs de composants et de contrôles afin qu'ils puissent utiliser Visual Studio pour créer des composants et des contrôles qui ne sont pas vulnérables aux problèmes signalés. Seuls les composants et les contrôles vulnérables développés avec une version d'ATL affectée sont concernés par ce problème. Les développeurs ayant construit ou redistribué des composants et des contrôles créés avec les versions affectées de l'ATL doivent installer la mise à jour fournie dans ce Bulletin et suivre les étapes indiquées pour assurer que leurs composants et contrôles ne contiennent pas les vulnérabilités décrites dans ce Bulletin.

Quelles versions d'ATL (Active Template Library) sont affectées par ces vulnérabilités ?
Les versions 7.0, 7.1, 8.0 et 9.0 sont affectées. Les autres versions ne sont pas prises en charge.

Quelles versions de Visual Studio sont affectées ?
Veuillez consulter la section « Logiciels concernés et non concernés » dans ce Bulletin de sécurité Microsoft.

Cette mise à jour de sécurité est-elle liée au Bulletin MS09-034, également publié comme mise à jour hors cycle ?  
Oui. Le Bulletin de sécurité Microsoft MS09-034, « Mise à jour de sécurité cumulative pour Internet Explorer », inclut un facteur atténuant qui aide à empêcher l'exploitation dans Internet Explorer des composants et des contrôles créés à l'aide d'ATL vulnérable et qui corrige différentes vulnérabilités sans rapport avec ce problème. Les nouvelles mesures de défense en profondeur proposées dans MS09-034 incluent des mises à jour pour Internet Explorer 5.01, Internet Explorer 6 et Internet Explorer 6 Service Pack 1, Internet Explorer 7 et Internet Explorer 8, qui surveillent et aident à empêcher l'exploitation de toutes les vulnérabilités connues des bibliothèques ATL publiques et privées, y compris les vulnérabilités qui pourraient mener à contourner le dispositif de sécurité du kill bit d'ActiveX. Ces protections sont conçues pour aider à protéger les clients des attaques Web.

Si j'ai installé la mise à jour MS09-034, ai-je toujours besoin d'installer cette mise à jour ?  
Cette mise à jour de sécurité est destinée aux développeurs de composants et de contrôles. Les développeurs ayant construit ou redistribué des composants et des contrôles créés avec les versions affectées de l'ATL doivent installer la mise à jour fournie dans ce Bulletin et suivre les étapes indiquées pour assurer que leurs composants et contrôles ne contiennent pas les vulnérabilités décrites dans ce Bulletin.

Si j'ai installé la mise à jour MS09-034, dois-je toujours installer les composants et les contrôles supplémentaires fournis par Microsoft ou des tiers, qui corrigent les vulnérabilités décrites dans l'Avis de sécurité Microsoft 973882 et le Bulletin de sécurité Microsoft MS09-035 ?  
Le facteur atténuant pour Internet Explorer du Bulletin MS09-034 ne corrige pas les vulnérabilités sous-jacentes dans certains composants et contrôles développés avec ATL. Microsoft recommande que les développeurs suivent les conseils fournis dans ce Bulletin pour modifier et recréer tous les composants et contrôles affectés par les vulnérabilités décrites dans ce Bulletin.

Où se trouvent les informations sur les fichiers ?  
Reportez-vous aux tableaux de référence de la section « Déploiement de la mise à jour de sécurité » pour obtenir l'emplacement des informations sur les fichiers.

Qu'est-ce qu'ATL ?
ATL (Active Template Library) est un ensemble de classes C++ basées sur un modèle qui vous permet de créer des objets COM petits et rapides. ATL possède une prise en charge spéciale des fonctionnalités COM clés, incluant notamment les implémentations de stock, les interfaces doubles, les interfaces d'énumérateur COM standard, les points de connexion, les interfaces détachables et les contrôles ActiveX. Pour plus d'informations, consultez cet article MSDN.

Les composants et les contrôles tiers sont-ils affectés par ce problème ?
Certains composants et contrôles tiers peuvent être affectés par ce problème si certaines conditions ont été réunies lors de la création des composants et des contrôles. Microsoft recommande que les développeurs suivent les conseils fournis dans ce Bulletin pour modifier et recréer tous les composants et contrôles affectés par les vulnérabilités décrites dans ce Bulletin.

Je suis un développeur d'applications tierces et j'utilise ATL dans mes composants et contrôles. Mes composants et contrôles sont-ils vulnérables, et le cas échéant, comment puis-je les mettre à jour ? 
Pour obtenir des instructions afin de déterminer si vos composants et contrôles sont vulnérables ou non et comment les mettre à jour, consultez cet article MSDN.

Pourquoi cette mise à jour corrige-t-elle plusieurs vulnérabilités de sécurité ?  
Cette mise à jour concerne plusieurs vulnérabilités car les modifications nécessaires à leur correction résident dans des fichiers apparentés. Nos clients n'ont ainsi qu'une mise à jour à installer, plutôt que plusieurs mises à jour presque identiques.

J'utilise une version antérieure du logiciel décrit dans ce Bulletin de sécurité. Que dois-je faire ?  
Microsoft a testé les logiciels répertoriés dans ce Bulletin afin de déterminer quelles versions sont concernées. Les autres versions ont atteint la fin de leurs cycles de vie. Consultez le site Web Politique de Support Microsoft afin de connaître les modalités de support de votre version de logiciel.

Les clients qui utilisent une version ancienne de ces logiciels doivent prioritairement passer à une version prise en charge, afin de prévenir leur exposition potentielle aux vulnérabilités. Pour plus d'informations sur le cycle de support des produits Windows, visitez le site Web Politique de Support Microsoft. Pour plus d'informations sur la période de support étendu des mises à jour de sécurité pour ces versions ou éditions de logiciels, consultez le site Web des services de support technique de Microsoft.

Les clients nécessitant un support supplémentaire pour des versions antérieures doivent prendre contact avec leur responsable de compte Microsoft, leur responsable technique de compte ou le partenaire Microsoft approprié pour connaître les options de support personnalisé. Les clients ne bénéficiant pas d'un Contrat Alliance, Premier ou Authorized peuvent appeler leur agence commerciale locale Microsoft. Pour les informations de contact, visitez le site Web Microsoft Worldwide Information, sélectionnez le pays puis cliquez sur Go pour afficher une liste de numéros de téléphone. Pour plus d'informations, consultez le Forum aux questions sur la politique de support des systèmes d'exploitation Windows.

Je suis développeur et j'ai des questions concernant ce problème qui ne sont pas décrites dans ce Bulletin de sécurité Microsoft. Que puis-je faire ?
Dans le cadre de notre réaction à ce problème, Microsoft fournit un contenu spécialisé destiné aux développeurs et des liens vers des forums vous permettant d'obtenir des réponses à vos questions directement à partir des ressources de Microsoft et de la communauté de développeurs de Microsoft. Pour plus d'informations, consultez cet article MSDN.

Les indices de gravité suivants considèrent l'impact potentiel maximal de la vulnérabilité. Pour plus d'informations sur les risques dans les 30 jours suivant la publication d'un Bulletin concernant l'exploitabilité de la vulnérabilité par rapport à son indice de gravité et à son impact, consultez l'Indice d'exploitabilité dans la synthèse des Bulletins de sécurité de juillet. Pour plus d'informations, consultez l'Indice d'exploitabilité Microsoft.

Il existe une vulnérabilité d'exécution de code à distance dans Microsoft ATL (Active Template Library) en raison d'un problème dans les en-têtes ATL qui pourrait permettre à un attaquant de forcer l'appel à VariantClear sur une variante incorrectement initialisée. De ce fait, l'attaquant peut contrôler ce qui arrive lorsque VariantClear est appelé pendant le traitement d'une erreur en fournissant un flux corrompu. Cette vulnérabilité n'affecte directement que les systèmes sur lesquels des composants et des contrôles créés à l'aide de l'ATL de Visual Studio sont installés Ce problème pourrait permettre à un utilisateur à distance non authentifié d'exécuter du code à distance sur un système affecté. Un attaquant pourrait exploiter cette vulnérabilité en créant une page Web malveillante. Lorsqu'un utilisateur affiche cette page Web, cette vulnérabilité pourrait permettre l'exécution de code à distance.

Pour afficher cette vulnérabilité en tant qu'entrée standard dans la liste « Common Vulnerabilities and Exposures », consultez la référence CVE-2009-0901.

Une vulnérabilité d'exécution de code à distance existe dans Microsoft ATL (Active Template Library) en raison de problèmes dans les en-têtes ATL qui traitent l'instanciation d'un objet depuis le flux de données. Cette vulnérabilité n'affecte directement que les systèmes sur lesquels des composants et des contrôles créés à l'aide de l'ATL de Visual Studio sont installés Pour les composants et les contrôles créés à l'aide d'ATL, l'utilisation non fiable d'OleLoadFromStream pourrait permettre l'instanciation d'objets arbitraires qui peuvent contourner la stratégie de sécurité associée, par exemple, les kill bits dans Internet Explorer. Ce problème pourrait permettre à un utilisateur à distance non authentifié d'exécuter du code à distance sur un système affecté. Un attaquant pourrait exploiter cette vulnérabilité en créant une page Web malveillante. Lorsqu'un utilisateur affiche cette page Web, cette vulnérabilité pourrait permettre l'exécution de code à distance.

Pour afficher cette vulnérabilité en tant qu'entrée standard dans la liste « Common Vulnerabilities and Exposures », consultez la référence CVE-2009-2493.

Une vulnérabilité de divulgation d'informations existe dans Microsoft ATL (Active Template Library) qui pourrait permettre à une chaîne d'être lue sans un caractère NULL de fin. Un attaquant pourrait manipuler cette chaîne pour lire des données supplémentaires au-delà de la fin de la chaîne et divulguer ainsi des informations de la mémoire. Cette vulnérabilité n'affecte directement que les systèmes sur lesquels des composants et des contrôles créés à l'aide de l'ATL de Visual Studio sont installés Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter un composant ou un contrôle malveillant qui pourrait divulguer des informations, transmettre des données utilisateur à un tiers ou avoir accès à toutes les données sur les systèmes affectés qui n'étaient accessibles que par un utilisateur connecté. Veuillez noter que cette vulnérabilité ne permet pas à un attaquant d'exécuter un code ou d'élever directement ses privilèges, mais elle pourrait servir à produire des informations susceptibles de donner à l'attaquant les moyens de compromettre davantage le système affecté.

Pour afficher cette vulnérabilité en tant qu'entrée standard dans la liste « Common Vulnerabilities and Exposures », consultez la référence CVE-2009-2495.

Les conseils sur la détection et le déploiement suivants fournissent des informations sur la façon de garantir que les versions de Visual Studio dans ce Bulletin de sécurité ont été mises à jour avec les en-têtes ATL qui corrigent les vulnérabilités abordées ci-dessus.

Gérez les mises à jour logicielles et de sécurité que vous avez besoin de déployer vers vos serveurs, ordinateurs de bureau et ordinateurs portables dans votre organisation. Pour plus d'informations, consultez le site TechNet Update Management Center. Le site Web Espace Sécurité TechNet fournit des informations complémentaires sur la sécurité dans les produits Microsoft.

Les mises à jour de sécurité sont disponibles sur Microsoft Update et Windows Update. Les mises à jour de sécurité sont également disponibles sur le Centre de téléchargement Microsoft. La méthode la plus simple est celle qui consiste à effectuer une recherche sur le mot-clé « security update ».

Enfin, les mises à jour de sécurité peuvent être téléchargées à partir du Catalogue Microsoft Update. Le Catalogue Microsoft Update permet de rechercher les contenus mis à disposition sur Windows Update et Microsoft Update, comme par exemple les mises à jour de sécurité, les pilotes de périphériques et les Service Packs. En utilisant le numéro de Bulletin comme critère de recherche (par exemple "MS07-036"), vous pouvez ajouter toutes les mises à jour concernées à votre panier (ainsi que plusieurs langues pour une même mise à jour) et les télécharger dans le dossier de votre choix. Pour plus d'informations sur le Catalogue Microsoft Update, consultez le Forum aux questions du Catalogue Microsoft Update.

Remarque : À partir du 1er août 2009, Microsoft n'assurera plus le support d'Office Update et de l'outil d'inventaire des mises à jour Office. Pour continuer à obtenir les dernières mises à jour des produits Microsoft Office, utilisez Microsoft Update. Pour plus d'informations, consultez À propos de Microsoft Office Update : Forum aux questions.

Conseils sur la détection et le déploiement

Microsoft a mis à votre disposition des conseils sur la détection et le déploiement des mises à jour de sécurité. Ces conseils contiennent des recommandations et des informations susceptibles d'aider les professionnels de l'informatique à comprendre comment utiliser divers outils pour la détection et le déploiement de mises à jour de sécurité. Pour plus d'informations, consultez l'Article 961747 de la Base de connaissances Microsoft.

Microsoft Baseline Security Analyzer

Microsoft Baseline Security Analyzer (MBSA) permet aux administrateurs de rechercher les mises à jour manquantes et les erreurs de configuration de sécurité sur les systèmes locaux et distants. Pour plus d'informations sur l'outil MBSA, consultez le site Web Microsoft Baseline Security Analyzer.

Le tableau suivant fournit le résumé de détection MBSA pour cette mise à jour de sécurité.

Pour plus d'informations sur MBSA 2.1, consultez le Forum aux questions de MBSA 2.1.

Windows Server Update Services

Windows Server Update Services (WSUS) permet aux administrateurs de déployer les dernières mises à jour critiques et les mises à jour de sécurité pour les systèmes d'exploitation Windows 2000 et versions ultérieures, Office XP et versions ultérieures, Exchange Server 2003 et SQL Server 2000. Pour plus d'informations sur le déploiement de cette mise à jour de sécurité avec Windows Server Update Services, consultez le site Web Windows Server Update Services.

Systems Management Server

Le tableau suivant présente les capacités de détection et de déploiement par SMS pour cette mise à jour de sécurité.

Pour SMS 2.0 et SMS 2003, le Feature Pack SUS de SMS (SUSFP), qui inclut l'Outil d'inventaire des mises à jour (SUIT), peut être utilisé par SMS pour détecter des mises à jour de sécurité. Consultez également les Téléchargements pour Systems Management Server 2.0.

SMS 2003 peut utiliser l'Outil d'inventaire SMS 2003 pour les mises à jour Microsoft (SMS 2003 Inventory Tool for Microsoft Updates - ITMU) afin de détecter les mises à jour de sécurité proposées par Microsoft Update et prises en charge par Windows Server Update Services. Pour plus d'informations concernant l'Outil d'inventaire SMS 2003 pour les mises à jour Microsoft (SMS 2003 Inventory Tool for Microsoft Updates - ITMU), veuillez consulter le site Web suivant. SMS 2003 peut également utiliser l'Outil d'inventaire des mises à jour de Microsoft Office pour détecter les mises à jour des applications Microsoft Office. Pour plus d'informations sur l'Outil d'inventaire des mises à jour d'Office et les autres outils d'analyse, voir les Outils d'analyse de SMS 2003 Software Update. Consultez également les Téléchargements pour Systems Management Server 2003.

System Center Configuration Manager 2007 utilise WSUS 3.0 pour la détection des mises à jour. Pour obtenir plus d'informations sur la gestion des mises à jour logicielles de Configuration Manager 2007, consultez la page System Center Configuration Manager 2007.

Pour plus d'informations sur SMS, consultez le site Web SMS.

Pour plus d'informations, consultez l'Article 910723 de la Base de connaissances Microsoft : Synthèse des articles mensuels prodiguant des conseils sur la détection et le déploiement.

Outils d'évaluation de la compatibilité des mises à jour et des applications

Les mises à jour écrivent souvent sur les mêmes fichiers et paramètres de registre nécessaires à l'exécution de vos applications. Ceci peut déclencher des incompatibilités et augmenter le temps nécessaire au déploiement des mises à jour de sécurité. Vous pouvez rationaliser le test et la validation des mises à jour Windows par rapport aux applications installées avec les composants d'Évaluation de compatibilité des mises à jour fournis avec les Outils d'analyse de compatibilité des applications 5.0.

Les outils d'analyse de compatibilité des applications comprennent les outils et la documentation nécessaires pour évaluer et limiter les problèmes de compatibilité des applications avant le déploiement de Windows Vista, d'une mise à jour Windows, d'une mise à jour de sécurité Microsoft ou d'une nouvelle version d'Internet Explorer dans votre environnement.

Logiciels concernés

Pour obtenir des informations sur la mise à jour de sécurité spécifique aux Logiciels concernés, cliquez sur le lien approprié :