Bulletin de sécurité Microsoft MS09-055 - Critique

J'utilisais Microsoft Office Visio Viewer 2002 ou Microsoft Office Visio Viewer 2003 pour lequel ce Bulletin, MS09-055, a défini le kill bit. Où puis-je télécharger la dernière version de Visio Viewer ? 
 Vous pouvez télécharger Microsoft Office Visio Viewer 2007 Service Pack 2 à partir du site Microsoft Office Online, Viewers for Visio 2007 (en anglais). Ensuite, pour être protégé des vulnérabilités décrites dans le Bulletin MS09-060, vous devez appliquer la mise à jour pour Microsoft Office Visio Viewer 2007 Service Pack 2 (KB973709) du même Bulletin. Les mises à jour automatiques peuvent également appliquer la dernière mise à jour si vous avez activé les mises à jour automatiques.

J'utilisais Microsoft Office Visio Viewer 2007 ou Microsoft Office Visio Viewer 2007 Service Pack 1. Après avoir appliqué la mise à jour de ce Bulletin, MS09-055, Visio Viewer a cessé de fonctionner. Que dois-je faire maintenant ? 
 Pour utiliser Visio Viewer, vous pouvez télécharger Microsoft Office Visio Viewer 2007 Service Pack 2 à partir du site Microsoft Office Online, Viewers for Visio 2007 (en anglais). Ensuite, pour être protégé des vulnérabilités décrites dans le Bulletin MS09-060, vous devez appliquer la mise à jour pour Microsoft Office Visio Viewer 2007 Service Pack 2 (KB973709) du même Bulletin. Les mises à jour automatiques peuvent également appliquer la dernière mise à jour si vous avez activé les mises à jour automatiques.

Je dispose de Microsoft Office Visio Viewer 2007 Service Pack 2 et j'ai appliqué la mise à jour de MS09-060. Dois-je tout de même définir le kill bit pour Visio Viewer à l'aide de la mise à jour de ce Bulletin, MS09-055 ? 
 Oui, Microsoft recommande l'application de la mise à jour de ce Bulletin car celle-ci inclut les kill bits pour d'autres contrôles vulnérables. Pour plus d'informations, consultez le Forum aux questions concernant CVE-2009-2493.

MBSA prend-il en charge la détection pour cette mise à jour de sécurité sous Windows 7 et Windows Server 2008 R2 ?
MBSA prend en charge la détection pour cette mise à jour de sécurité sous Windows 7 et Windows Server 2008 R2 depuis la version 2.1.1 de MBSA, disponible depuis la date de disponibilité générale de ces systèmes d'exploitation. Pour plus d'informations, consultez le site Web MBSA.

Cette mise à jour de sécurité cumulative pour les kill bits ActiveX contient-elle les kill bits décrits dans le Bulletin de sécurité Microsoft MS09-043 ? 
Cette mise à jour n'inclut pas les kill bits empêchant la bibliothèque Office Web Components (OWC) de s'exécuter dans Internet Explorer, qui sont décrits dans le Bulletin de sécurité Microsoft MS09-043. Les clients qui n'ont pas installé MS09-043 doivent installer cette mise à jour ainsi que MS09-043 pour être protégés de ces vulnérabilités.

Cette mise à jour de sécurité est-elle liée au Bulletin MS09-034 ?  
Oui. Le Bulletin de sécurité Microsoft MS09-034, « Mise à jour de sécurité cumulative pour Internet Explorer », inclut un facteur atténuant qui aide à empêcher l'exploitation dans Internet Explorer des composants et des contrôles créés à l'aide d'ATL vulnérable et qui corrige également d'autres vulnérabilités sans rapport. Les nouvelles mesures de défense en profondeur proposées dans MS09-034 incluent des mises à jour pour Internet Explorer 5.01, Internet Explorer 6 et Internet Explorer 6 Service Pack 1, Internet Explorer 7 et Internet Explorer 8, qui surveillent et aident à empêcher l'exploitation de toutes les vulnérabilités connues des bibliothèques ATL publiques et signalées confidentiellement, y compris les vulnérabilités qui pourraient mener à contourner le dispositif de sécurité du kill bit d'ActiveX. Ces protections sont conçues pour aider à protéger les clients des attaques Web.

Si j'ai installé la mise à jour MS09-034, ai-je toujours besoin d'installer cette mise à jour ?  
Cette mise à jour de sécurité corrige les contrôles ActiveX vulnérables et les empêche de s'instancier dans Internet Explorer. Microsoft recommande à tous les clients d'appliquer cette mise à jour en plus de la dernière mise à jour de sécurité cumulative pour Internet Explorer afin de conserver le plus haut niveau de sécurité.

Si j'ai installé la mise à jour MS09-034, dois-je toujours installer les composants et les contrôles supplémentaires fournis par Microsoft ou des tiers, qui corrigent les vulnérabilités décrites dans l'Avis de sécurité Microsoft 973882et le Bulletin de sécurité MicrosoftMS09-035?
Le facteur atténuant pour Internet Explorer décrit dans le Bulletin MS09-034 ne corrige pas les vulnérabilités sous-jacentes dans certains composants et contrôles développés avec ATL. Microsoft recommande que les développeurs suivent les conseils fournis dans ce Bulletin pour modifier et recréer tous les composants et contrôles affectés par les vulnérabilités décrites dans ce Bulletin.

Quels kill bits ActiveX sont contenus dans cette mise à jour de sécurité cumulative ?  
Cette mise à jour de sécurité cumulative pour les kill bits ActiveX contient tous les kill bits publiés précédemment dans les Bulletins MS08-023 (Mise à jour de sécurité concernant les kill bits ActiveX), MS08-032 (Mise à jour de sécurité cumulative pour les kill bits ActiveX), MS09-032 (Mise à jour de sécurité cumulative pour les kill bits ActiveX) ainsi que les Avis intitulés Ensemble de mises à jour pour les kill bits ActiveX, c'est-à-dire les Avis de sécurité Microsoft 953839, 956391, 960715 et 969898.

Qu'est-ce qu'un kill bit ?
Il existe une fonctionnalité de sécurité dans Microsoft Internet Explorer qui empêche un contrôle ActiveX d’être chargé par le moteur de rendu HTML d’Internet Explorer. Cette action est effectuée par la création d’un paramètre de Registre ; elle est appelée « définition du kill bit ». Une fois le kill bit défini, il est impossible de charger le contrôle concerné, même lorsqu’il est complètement installé. La définition du kill bit garantit que même si un composant vulnérable est introduit ou réintroduit dans un système, il reste inerte et inoffensif.

Pour plus d’informations sur les kill bit, consultez l’article 240797 de la Base de connaissances de Microsoft. Comment faire pour empêcher l'exécution d'un contrôle ActiveX dans Internet Explorer.

Qu'est-ce qu'une mise à jour de sécurité pour les kill bits ActiveX ?  
Une mise à jour de sécurité des kill bits ActiveX contient les identificateurs de classe (CLSID) de certains contrôles ActiveX qui constituent la base de cette mise à jour de sécurité. Ce Bulletin de sécurité répertorie ces CLSID dans la section « Informations par vulnérabilité ».

Pourquoi cette mise à jour ne contient-elle pas de fichiers binaires ?
Cette mise à jour apporte des modifications au Registre uniquement, afin d'empêcher le contrôle d'être instancié dans Internet Explorer.

Dois-je installer cette mise à jour si le composant affecté n'est pas installé sur mon système ou si je n'utilise pas la plate-forme concernée ?
Oui. L'installation de cette mise à jour empêchera le contrôle vulnérable de s'exécuter dans Internet Explorer.

Dois-je à nouveau appliquer cette mise à jour si j'installe un contrôle ActiveX repris dans cette mise à jour de sécurité à une date ultérieure ?
Non, il n'est pas nécessaire de réappliquer cette mise à jour. Le kill bit empêchera Internet Explorer d'exécuter le contrôle même si ce dernier est installé à une date ultérieure.

Cette mise à jour contient-elle des kill bits non spécifiques à Microsoft ?  
Tous les nouveaux kill bits contenus dans cette mise à jour s'appliquent uniquement aux contrôles Microsoft. Cependant, puisqu'il s'agit d'une mise à jour de sécurité cumulative, elle inclut les kill bits que Microsoft a publiés à la fois pour les contrôles ActiveX Microsoft et non-Microsoft.

Cette mise à jour contient-elle des kill bits qui ont été fournis précédemment via une mise à jour de sécurité pour Internet Explorer ?
Non, cette mise à jour ne contient aucun kill bit fourni précédemment via une mise à jour de sécurité pour Internet Explorer. Nous vous recommandons d'installer la dernière mise à jour de sécurité cumulative pour Internet Explorer.

Pourquoi cette mise à jour de sécurité a-t-elle des niveaux de gravité différents en fonction des systèmes d'exploitation Windows ?
Cette mise à jour a des niveaux de gravité différents parce que différents facteurs atténuants s'appliquent à la vulnérabilité en fonction du système d'exploitation. L'un de ces facteurs atténuants est qu'Internet Explorer sur Windows Server 2003 et Windows Server 2008 s'exécute selon un mode restreint nommé Configuration de sécurité améliorée.

J'utilise une version antérieure du logiciel décrit dans ce Bulletin de sécurité. Que dois-je faire ?  
Microsoft a testé les logiciels répertoriés dans ce Bulletin afin de déterminer quelles versions sont concernées. Les autres versions ont atteint la fin de leurs cycles de vie. Consultez le site Web Politique de Support Microsoft afin de connaître les modalités de support de votre version de logiciel.

Les clients qui utilisent une version ancienne de ces logiciels doivent prioritairement passer à une version prise en charge, afin de prévenir leur exposition potentielle aux vulnérabilités. Pour plus d’informations sur le cycle de support des produits Windows, visitez le site Web Politique de Support Microsoft. Pour plus d'informations sur la période de support étendu des mises à jour de sécurité pour ces versions des logiciels, consultez le site Web des services de support technique de Microsoft.

Les clients nécessitant un support supplémentaire pour des logiciels plus anciens doivent prendre contact avec leur responsable de compte Microsoft, leur responsable technique de compte ou le partenaire Microsoft approprié pour connaître les options de support personnalisé. Les clients ne bénéficiant pas d'un Contrat Alliance, Premier ou Authorized peuvent appeler leur agence commerciale locale Microsoft. Pour les informations de contact, visitez le site Web Microsoft Worldwide Information, sélectionnez le pays puis cliquez sur Go pour afficher une liste de numéros de téléphone. Pour plus d'informations, consultez le Forum aux questions sur la politique de support des systèmes d'exploitation Windows.

Les indices de gravité suivants considèrent l'impact potentiel maximal de la vulnérabilité. Pour plus d'informations sur les risques dans les 30 jours suivant la publication d'un Bulletin concernant l'exploitabilité de la vulnérabilité par rapport à son indice de gravité et à son impact, consultez l'Indice d'exploitabilité dans la synthèse des Bulletins de sécurité d'octobre. Pour plus d'informations, consultez l'Indice d'exploitabilité Microsoft.

*Installation Server Core non concernée. Les vulnérabilités corrigées par cette mise à jour ne concernent pas les éditions en cours de support de Windows Server 2008 ou Windows Server 2008 R2 lorsqu'elles ont été installées à l'aide de l'option d'installation Server Core. Pour plus d'informations sur cette option d'installation, consultez les articles MSDN sur Server Core et Server Core pour Windows Server 2008 R2 (en anglais). Sachez que l'option d'installation Server Core ne s'applique pas à certaines éditions de Windows Server 2008 et Windows Server 2008 R2. Reportez-vous à la page Option d'installation Server Core.

Il existe une vulnérabilité d'exécution de code à distance dans les contrôles ActiveX de Microsoft indiqués dans la section « Forum aux questions » de cette vulnérabilité, compilés à l'aide de la version vulnérable de Microsoft ATL (Active Template Library) comme décrit dans le Bulletin de sécurité Microsoft MS09-035. Un attaquant pourrait exploiter la vulnérabilité de ces contrôles en créant une page Web spécialement conçue. Lorsqu'un utilisateur affiche cette page Web, cette vulnérabilité pourrait permettre l'exécution de code à distance. Un attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur connecté.

Pour afficher cette vulnérabilité en tant qu'entrée standard dans la liste « Common Vulnerabilities and Exposures », consultez la référence CVE-2009-2493.

Gérez les mises à jour logicielles et de sécurité que vous avez besoin de déployer vers vos serveurs, ordinateurs de bureau et ordinateurs portables dans votre organisation. Pour plus d'informations, consultez le site TechNet Update Management Center. Le site Web Espace Sécurité TechNet fournit des informations complémentaires sur la sécurité dans les produits Microsoft.

Les mises à jour de sécurité sont disponibles sur Microsoft Update et Windows Update. Les mises à jour de sécurité sont également disponibles sur le Centre de téléchargement Microsoft. La méthode la plus simple est celle qui consiste à effectuer une recherche sur le mot-clé « security update ».

Enfin, les mises à jour de sécurité peuvent être téléchargées à partir du Catalogue Microsoft Update. Le Catalogue Microsoft Update permet de rechercher les contenus mis à disposition sur Windows Update et Microsoft Update, comme par exemple les mises à jour de sécurité, les pilotes de périphériques et les Service Packs. En utilisant le numéro de Bulletin comme critère de recherche (par exemple "MS08-010"), vous pouvez ajouter toutes les mises à jour concernées à votre panier (ainsi que plusieurs langues pour une même mise à jour) et les télécharger dans le dossier de votre choix. Pour plus d'informations sur le Catalogue Microsoft Update, consultez le Forum aux questions du Catalogue Microsoft Update.

Remarque : Depuis le 1er août 2009, Microsoft n'assure plus le support d'Office Update et de l'outil d'inventaire des mises à jour Office. Pour continuer à obtenir les dernières mises à jour des produits Microsoft Office, utilisez Microsoft Update. Pour plus d'informations, consultez À propos de Microsoft Office Update : Forum aux questions.

Conseils sur la détection et le déploiement

Microsoft a mis à votre disposition des conseils sur la détection et le déploiement des mises à jour de sécurité. Ces conseils contiennent des recommandations et des informations susceptibles d'aider les professionnels de l'informatique à comprendre comment utiliser divers outils pour la détection et le déploiement de mises à jour de sécurité. Pour plus d'informations, consultez l'Article 961747 de la Base de connaissances Microsoft.

Microsoft Baseline Security Analyzer

Microsoft Baseline Security Analyzer (MBSA) permet aux administrateurs de rechercher les mises à jour manquantes et les erreurs de configuration de sécurité sur les systèmes locaux et distants. Pour plus d'informations sur l'outil MBSA, consultez le site Web Microsoft Baseline Security Analyzer. Le tableau suivant fournit le résumé de détection MBSA pour cette mise à jour de sécurité.

*Cette mise à jour de sécurité a été publiée avant la date de disponibilité générale de Windows 7 et Windows Server 2008 R2. MBSA 2.1.1, disponible depuis cette date, prend en charge la détection de cette mise à jour de sécurité sur ces systèmes d'exploitation.

Pour plus d'informations sur MBSA 2.1, consultez le Forum aux questions de MBSA 2.1.

Windows Server Update Services

Windows Server Update Services (WSUS) permet aux administrateurs de déployer les dernières mises à jour critiques et les mises à jour de sécurité pour les systèmes d'exploitation Windows 2000 et versions ultérieures, Office XP et versions ultérieures, Exchange Server 2003 et SQL Server 2000 sur Windows 2000 et versions ultérieures. Pour plus d'informations sur le déploiement de cette mise à jour de sécurité avec Windows Server Update Services, consultez le site Web Windows Server Update Services.

Systems Management Server

Le tableau suivant présente les capacités de détection et de déploiement par SMS pour cette mise à jour de sécurité.

Pour SMS 2.0 et SMS 2003, l'Outil d'inventaire des mises à jour de sécurité (SUIT) peut être utilisé par le biais de SMS pour détecter des mises à jour de sécurité. Consultez également les Téléchargements pour Systems Management Server 2.0.

SMS 2003 peut utiliser l'Outil d'inventaire SMS 2003 pour les mises à jour Microsoft (SMS 2003 Inventory Tool for Microsoft Updates - ITMU) afin de détecter les mises à jour de sécurité proposées par Microsoft Update et prises en charge par Windows Server Update Services. Pour plus d'informations concernant l'Outil d'inventaire SMS 2003 pour les mises à jour Microsoft (SMS 2003 Inventory Tool for Microsoft Updates - ITMU), veuillez consulter le site Web suivant. Pour plus d'informations à propos des outils d'analyse SMS, voir l'article consacré aux Outils d'analyse de SMS 2003 Software Update (en anglais). Consultez également les Téléchargements pour Systems Management Server 2003.

System Center Configuration Manager 2007 utilise WSUS 3.0 pour la détection des mises à jour. Pour obtenir plus d'informations sur la gestion des mises à jour logicielles de Configuration Manager 2007, consultez la page System Center Configuration Manager 2007.

Remarque concernant Windows Vista et Windows Server 2008 : Microsoft Systems Management Server 2003 avec Service Pack 3 inclut la prise en charge pour la gestion de Windows Vista et Windows Server 2008.

Pour plus d'informations sur SMS, consultez le site Web SMS.

Pour plus d'informations, consultez l'Article 910723 de la Base de connaissances Microsoft : Synthèse des articles mensuels prodiguant des conseils sur la détection et le déploiement.

Outils d'évaluation de la compatibilité des mises à jour et des applications

Les mises à jour écrivent souvent sur les mêmes fichiers et paramètres de registre nécessaires à l'exécution de vos applications. Ceci peut déclencher des incompatibilités et augmenter le temps nécessaire au déploiement des mises à jour de sécurité. Vous pouvez rationaliser le test et la validation des mises à jour Windows par rapport aux applications installées avec les composants d'Évaluation de compatibilité des mises à jour fournis avec les Outils d'analyse de compatibilité des applications 5.0.

Les outils d'analyse de compatibilité des applications comprennent les outils et la documentation nécessaires pour évaluer et limiter les problèmes de compatibilité des applications avant le déploiement de Windows Vista, d'une mise à jour Windows, d'une mise à jour de sécurité Microsoft ou d'une nouvelle version d'Internet Explorer dans votre environnement.

Logiciels concernés

Pour obtenir des informations sur la mise à jour de sécurité spécifique aux Logiciels concernés, cliquez sur le lien approprié :