Bulletin de sécurité Microsoft MS10-020 - Critique

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Cette vulnérabilité de déni de service ne permet pas à un attaquant d'exécuter du code ni d'élever ses privilèges, mais peut amener le système affecté à ne plus fonctionner tant qu'il n'est pas redémarré manuellement.
• Les meilleures pratiques en matière de pare-feu, ainsi que les configurations par défaut des pare-feu, contribuent à protéger les réseaux contre les attaques lancées depuis l'extérieur de l'entreprise. Les meilleures pratiques recommandent que les systèmes connectés à Internet aient le moins possible de ports exposés. Dans ce cas, les ports SMB devraient être bloqués par rapport à Internet.

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

• Bloquer les ports TCP 139 et 445 au niveau du pare-feu

  Ces ports servent à établir une connexion au composant affecté. En bloquant les ports TCP 139 et 445 au niveau du pare-feu, vous protégerez les systèmes situés derrière ce pare-feu des tentatives d'exploitation de cette vulnérabilité. Pour cette vulnérabilité spécifique, le trafic SMB entrant et sortant doit être bloqué pour réduire le risque. Microsoft vous recommande de bloquer toute communication entrante non sollicitée en provenance d'Internet, afin de renforcer la protection contre des attaques qui pourraient utiliser les autres ports. Pour obtenir plus d'informations sur les ports, consultez l'article TechNet consacré aux affectations de port TCP et UDP (en anglais).

  Impact de cette solution de contournement. Plusieurs services Windows utilisent ces ports. Bloquer ces ports peut entraîner un dysfonctionnement de certaines applications ou services. Certaines applications pouvant être affectées sont répertoriées ci-dessous :

  • Applications qui utilisent SMB (CIFS)
  • Applications utilisant des mailslots ou des canaux nommés (named pipes) (RPC sur SMB)
  • Serveur (Partage de fichier et d'impression)
  • Stratégie de groupe
  • Ouverture de session réseau
  • Système de fichiers distribués (DFS)
  • Gestion de licences Terminal Server
  • Spouleur d'impression
  • Explorateur d'ordinateur
  • Localisateur d'appels de procédure distante (RPC)
  • Service de télécopie
  • Service d'indexation
  • Journaux et alertes de performances
  • Systems Management Server
  • Service d'enregistrement de licence

  Comment annuler la solution de contournement. Autorisez les ports TCP 139 et 445 au niveau du pare-feu. Pour plus d'informations sur les ports, consultez Affectations de port TCP et UDP.

Quelle est la portée de cette vulnérabilité ?  
Il s'agit d'une vulnérabilité de déni de service. Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait empêcher le système affecté de répondre tant qu'il n'est pas redémarré manuellement. Sachez que cette vulnérabilité de déni de service ne permet pas à un attaquant d'exécuter du code ni d'élever ses privilèges, mais peut amener le système affecté à ne plus fonctionner tant qu'il n'est pas redémarré manuellement.

Quelle est la cause de cette vulnérabilité ?  
Cette vulnérabilité est due à l'implémentation du client Microsoft Server Message Block (SMB) qui traite les réponses SMB de manière incorrecte.

Qu'est ce que le protocole Microsoft Server Message Block (SMB) ?  
Le protocole Microsoft Server Message Block (SMB) est un protocole de partage de fichiers en réseau de Microsoft utilisé dans Microsoft Windows. Pour plus d'informations sur SMB, consultez l'article MSDN consacré à la présentation des protocoles Microsoft SMB et CIFS (en anglais).

Qu'est-ce que Microsoft Server Message Block Version 2 (SMBv2) ?  
Server Message Block (SMB) est un protocole de partage de fichiers utilisé par défaut sur les ordinateurs exécutant Windows. SMB Version 2.0 (SMBv2) est une mise à jour de ce protocole prise en charge uniquement par les ordinateurs exécutant Windows Server 2008, Windows 7 et Windows Vista. SMBv2 ne peut être utilisé que si le client et le serveur le prennent tous les deux en charge. Si le client ou le serveur ne peut pas prendre en charge SMBv2, le protocole SMB 1.0 sera utilisé à sa place. La version du protocole SMB utilisée lors des opérations de fichiers est décidée lors de la phase de négociation. Pendant la phase de négociation, le client Windows Vista informe le serveur qu'il peut prendre en charge le protocole SMBv2. Si le serveur (Windows Server 2008 ou version ultérieure) comprend SMBv2, alors SMBv2 est choisi pour la communication. Si ce n'est pas le cas, le client et le serveur utilisent SMB 1.0 et continuent à fonctionner normalement. Pour plus d'informations sur SMBv2, consultez l'article MSDN sur les spécifications du protocole Server Message Block (SMB) Version 2 (en anglais).

Quelle est la différence entre SMBv1 et SMBv2 ?  
Ces deux protocoles sont utilisés par les clients pour demander des services de fichiers et d'impression à partir d'un système serveur sur le réseau. Il s'agit de deux protocoles avec état dans lesquels les clients établissent une connexion à un serveur, établissent un contexte authentifié sur cette connexion, puis émettent une série de requêtes afin d'accéder aux fichiers, aux imprimantes et aux canaux nommés pour une communication entre processus. Le protocole SMBv2 est une révision majeure du protocole SMB existant. Même si de nombreux concepts sous-jacents sont identiques, les formats des paquets sont complètement différents. En plus de fournir toutes les fonctionnalités de SMBv1, le protocole SMBv2 fournit plusieurs améliorations :

• Il permet de rétablir un fichier ouvert après la déconnexion temporaire d'une connexion client.
• Il permet au serveur d'équilibrer le nombre d'opérations simultanées qu'un client peut avoir en cours à tout moment.
• Il permet une montée en charge sur le nombre de partages, d'utilisateurs et de fichiers ouverts simultanément.
• Il prend en charge les liens symboliques.
• Il utilise un algorithme plus performant pour valider l'intégrité des requêtes et des réponses.

Quelles versions de SMB sont concernées par cette vulnérabilité  ? 
Cette vulnérabilité concerne SMBv1 et SMBv2.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait empêcher le système d'un utilisateur de répondre tant qu'il n'est pas redémarré manuellement.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?  
Un attaquant pourrait héberger un serveur SMB spécialement conçu pour exploiter cette vulnérabilité puis convaincre un utilisateur d'établir une connexion SMB à ce serveur. En outre, un attaquant sur le réseau local pourrait exécuter une attaque d'interception pour répondre à une requête SMB légitime avec une réponse SMB mal formée.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Tous les systèmes d'exploitation affectés sont exposés à cette vulnérabilité.

Cette vulnérabilité peut-elle être exploitée en utilisant Internet Explorer ?  
Non. Cependant, ce problème pourrait être exploité via des transactions Web, quel que soit le type de navigateur. Dans le cas d'une attaque Web, un attaquant devrait héberger une page Web contenant un URI spécialement conçu. Un utilisateur ayant parcouru ce site Web forcerait une connexion SMB à un serveur SMB contrôlé par l'attaquant, qui renverrait ensuite une réponse mal formée à l'utilisateur. Cette réponse pourrait empêcher le système des utilisateurs de répondre. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent des contenus provenant d'utilisateurs pourraient contenir un élément malveillant susceptible d'exploiter cette vulnérabilité. Un attaquant n'aurait aucun moyen d'obliger les utilisateurs à visiter un site Web malveillant. Il devrait y attirer l'utilisateur, généralement en l'incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.

Qu'est-ce qu'un URI ?  
Un URI (Universal Resource Identifier) est une chaîne de caractères utilisés pour suivre ou identifier des ressources provenant d'Internet ou d'un réseau. Une URL est un exemple typique d'un URI qui fait référence à une ressource, telle qu'un site Web. Pour plus d'informations sur les URI, consultez la RFC-2396.

Que fait cette mise à jour ?  
Cette mise à jour de sécurité corrige la vulnérabilité en rectifiant la manière dont le client SMB traite les réponses SMB incomplètes.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro « Common Vulnerability and Exposure » CVE-2009-3676.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d'une éventuelle exploitation de cette vulnérabilité ?  
Non. Lors de la première publication de ce Bulletin, Microsoft n'avait reçu aucune information faisant état d'une utilisation de cette vulnérabilité dans le but d'attaquer des clients.

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Les meilleures pratiques en matière de pare-feu, ainsi que les configurations par défaut des pare-feu, contribuent à protéger les réseaux contre les attaques lancées depuis l'extérieur de l'entreprise. Les meilleures pratiques recommandent que les systèmes connectés à Internet aient le moins possible de ports exposés. Dans ce cas, les ports SMB devraient être bloqués par rapport à Internet.

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

• Bloquer les ports TCP 139 et 445 au niveau du pare-feu

  Ces ports servent à établir une connexion au composant affecté. En bloquant les ports TCP 139 et 445 au niveau du pare-feu, vous protégerez les systèmes situés derrière ce pare-feu des tentatives d'exploitation de cette vulnérabilité. Pour cette vulnérabilité spécifique, le trafic SMB entrant et sortant doit être bloqué pour réduire le risque. Microsoft vous recommande de bloquer toute communication entrante non sollicitée en provenance d'Internet, afin de renforcer la protection contre des attaques qui pourraient utiliser les autres ports. Pour obtenir plus d'informations sur les ports, consultez l'article TechNet consacré aux affectations de port TCP et UDP (en anglais).

  Impact de cette solution de contournement. Plusieurs services Windows utilisent ces ports. Bloquer ces ports peut entraîner un dysfonctionnement de certaines applications ou services. Certaines applications pouvant être affectées sont répertoriées ci-dessous :

  • Applications qui utilisent SMB (CIFS)
  • Applications utilisant des mailslots ou des canaux nommés (named pipes) (RPC sur SMB)
  • Serveur (Partage de fichier et d'impression)
  • Stratégie de groupe
  • Ouverture de session réseau
  • Système de fichiers distribués (DFS)
  • Gestion de licences Terminal Server
  • Spouleur d'impression
  • Explorateur d'ordinateur
  • Localisateur d'appels de procédure distante (RPC)
  • Service de télécopie
  • Service d'indexation
  • Journaux et alertes de performances
  • Systems Management Server
  • Service d'enregistrement de licence

  Comment annuler la solution de contournement. Autorisez les ports TCP 139 et 445 au niveau du pare-feu. Pour plus d'informations sur les ports, consultez Affectations de port TCP et UDP.

Quelle est la portée de cette vulnérabilité ?  
Il s'agit d'une vulnérabilité d'exécution de code à distance. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Quelle est la cause de cette vulnérabilité ?  
Cette vulnérabilité est due à l'implémentation du client Microsoft Server Message Block (SMB) qui alloue la mémoire de manière incorrecte lors du traitement de réponses SMB spécialement conçues.

Qu'est ce que le protocole Microsoft Server Message Block (SMB) ?  
Le protocole Microsoft Server Message Block (SMB) est un protocole de partage de fichiers en réseau de Microsoft utilisé dans Microsoft Windows. Pour plus d'informations sur SMB, consultez l'article MSDN consacré à la présentation des protocoles Microsoft SMB et CIFS (en anglais).

Qu'est-ce que Microsoft Server Message Block Version 2 (SMBv2) ?  
Server Message Block (SMB) est un protocole de partage de fichiers utilisé par défaut sur les ordinateurs exécutant Windows. SMB Version 2.0 (SMBv2) est une mise à jour de ce protocole prise en charge uniquement par les ordinateurs exécutant Windows Server 2008, Windows 7 et Windows Vista. SMBv2 ne peut être utilisé que si le client et le serveur le prennent tous les deux en charge. Si le client ou le serveur ne peut pas prendre en charge SMBv2, le protocole SMB 1.0 sera utilisé à sa place. La version du protocole SMB utilisée lors des opérations de fichiers est décidée lors de la phase de négociation. Pendant la phase de négociation, le client Windows Vista informe le serveur qu'il peut prendre en charge le protocole SMBv2. Si le serveur (Windows Server 2008 ou version ultérieure) comprend SMBv2, alors SMBv2 est choisi pour la communication. Si ce n'est pas le cas, le client et le serveur utilisent SMB 1.0 et continuent à fonctionner normalement. Pour plus d'informations sur SMBv2, consultez l'article MSDN sur les spécifications du protocole Server Message Block (SMB) Version 2 (en anglais).

Quelle est la différence entre SMBv1 et SMBv2 ?  
Ces deux protocoles sont utilisés par les clients pour demander des services de fichiers et d'impression à partir d'un système serveur sur le réseau. Il s'agit de deux protocoles avec état dans lesquels les clients établissent une connexion à un serveur, établissent un contexte authentifié sur cette connexion, puis émettent une série de requêtes afin d'accéder aux fichiers, aux imprimantes et aux canaux nommés pour une communication entre processus. Le protocole SMBv2 est une révision majeure du protocole SMB existant. Même si de nombreux concepts sous-jacents sont identiques, les formats des paquets sont complètement différents. En plus de fournir toutes les fonctionnalités de SMBv1, le protocole SMBv2 fournit plusieurs améliorations :

• Il permet de rétablir un fichier ouvert après la déconnexion temporaire d'une connexion client.
• Il permet au serveur d'équilibrer le nombre d'opérations simultanées qu'un client peut avoir en cours à tout moment.
• Il permet une montée en charge sur le nombre de partages, d'utilisateurs et de fichiers ouverts simultanément.
• Il prend en charge les liens symboliques.
• Il utilise un algorithme plus performant pour valider l'intégrité des requêtes et des réponses.

Quelles versions de SMB sont concernées par cette vulnérabilité  ? 
Le problème concerné par cette référence CVE affecte SMBv1 et SMBv2.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. La plupart des tentatives d'exploitation de cette vulnérabilité empêcheront le système affecté de répondre et entraîneront un redémarrage.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?  
Un attaquant pourrait héberger un serveur SMB spécialement conçu pour exploiter cette vulnérabilité puis convaincre un utilisateur d'établir une connexion SMB à ce serveur. En outre, un attaquant sur le réseau local pourrait exécuter une attaque d'interception pour répondre à une requête SMB légitime avec une réponse SMB mal formée.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Tous les systèmes d'exploitation affectés sont exposés à cette vulnérabilité.

Cette vulnérabilité peut-elle être exploitée en utilisant Internet Explorer ?  
Non. Cependant, ce problème pourrait être exploité via des transactions Web, quel que soit le type de navigateur. Dans le cas d'une attaque Web, un attaquant devrait héberger une page Web contenant un URI spécialement conçu. Un utilisateur ayant parcouru ce site Web forcerait une connexion SMB à un serveur SMB contrôlé par l'attaquant, qui renverrait ensuite une réponse mal formée à l'utilisateur. Cette réponse pourrait empêcher le système des utilisateurs de répondre. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent des contenus provenant d'utilisateurs pourraient contenir un élément malveillant susceptible d'exploiter cette vulnérabilité. Un attaquant n'aurait aucun moyen d'obliger les utilisateurs à visiter un site Web malveillant. Il devrait y attirer l'utilisateur, généralement en l'incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.

Qu'est-ce qu'un URI ?  
Un URI (Universal Resource Identifier) est une chaîne de caractères utilisés pour suivre ou identifier des ressources provenant d'Internet ou d'un réseau. Une URL est un exemple typique d'un URI qui fait référence à une ressource, telle qu'un site Web. Pour plus d'informations sur les URI, consultez la RFC-2396.

Que fait cette mise à jour ?  
Cette mise à jour de sécurité corrige la vulnérabilité en rectifiant la manière dont le client SMB alloue la mémoire lors du traitement de réponses SMB spécialement conçues.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d'une éventuelle exploitation de cette vulnérabilité ?  
Non. Lors de la première publication de ce Bulletin, Microsoft n'avait reçu aucune information faisant état d'une utilisation de cette vulnérabilité dans le but d'attaquer des clients.

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Les meilleures pratiques en matière de pare-feu, ainsi que les configurations par défaut des pare-feu, contribuent à protéger les réseaux contre les attaques lancées depuis l'extérieur de l'entreprise. Les meilleures pratiques recommandent que les systèmes connectés à Internet aient le moins possible de ports exposés. Dans ce cas, les ports SMB devraient être bloqués par rapport à Internet.

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

• Bloquer les ports TCP 139 et 445 au niveau du pare-feu

  Ces ports servent à établir une connexion au composant affecté. En bloquant les ports TCP 139 et 445 au niveau du pare-feu, vous protégerez les systèmes situés derrière ce pare-feu des tentatives d'exploitation de cette vulnérabilité. Pour cette vulnérabilité spécifique, le trafic SMB entrant et sortant doit être bloqué pour réduire le risque. Microsoft vous recommande de bloquer toute communication entrante non sollicitée en provenance d'Internet, afin de renforcer la protection contre des attaques qui pourraient utiliser les autres ports. Pour obtenir plus d'informations sur les ports, consultez l'article TechNet consacré aux affectations de port TCP et UDP (en anglais).

  Impact de cette solution de contournement. Plusieurs services Windows utilisent ces ports. Bloquer ces ports peut entraîner un dysfonctionnement de certaines applications ou services. Certaines applications pouvant être affectées sont répertoriées ci-dessous :

  • Applications qui utilisent SMB (CIFS)
  • Applications utilisant des mailslots ou des canaux nommés (named pipes) (RPC sur SMB)
  • Serveur (Partage de fichier et d'impression)
  • Stratégie de groupe
  • Ouverture de session réseau
  • Système de fichiers distribués (DFS)
  • Gestion de licences Terminal Server
  • Spouleur d'impression
  • Explorateur d'ordinateur
  • Localisateur d'appels de procédure distante (RPC)
  • Service de télécopie
  • Service d'indexation
  • Journaux et alertes de performances
  • Systems Management Server
  • Service d'enregistrement de licence

  Comment annuler la solution de contournement. Autorisez les ports TCP 139 et 445 au niveau du pare-feu. Pour plus d'informations sur les ports, consultez Affectations de port TCP et UDP.

Quelle est la portée de cette vulnérabilité ?  
Il s'agit d'une vulnérabilité d'exécution de code à distance. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Quelle est la cause de cette vulnérabilité ?  
Cette vulnérabilité est due à une validation incorrecte des champs dans la réponse SMB par le client Microsoft Server Message Block (SMB). Ceci pourrait créer des problèmes de corruption de mémoire entraînant une exécution de code avec un niveau de privilèges système.

Qu'est ce que le protocole Microsoft Server Message Block (SMB) ?  
Le protocole Microsoft Server Message Block (SMB) est un protocole de partage de fichiers en réseau de Microsoft utilisé dans Microsoft Windows. Pour plus d'informations sur SMB, consultez l'article MSDN consacré à la présentation des protocoles Microsoft SMB et CIFS (en anglais).

Qu'est-ce que Microsoft Server Message Block Version 2 (SMBv2) ?  
Server Message Block (SMB) est un protocole de partage de fichiers utilisé par défaut sur les ordinateurs exécutant Windows. SMB Version 2.0 (SMBv2) est une mise à jour de ce protocole prise en charge uniquement par les ordinateurs exécutant Windows Server 2008, Windows 7 et Windows Vista. SMBv2 ne peut être utilisé que si le client et le serveur le prennent tous les deux en charge. Si le client ou le serveur ne peut pas prendre en charge SMBv2, le protocole SMB 1.0 sera utilisé à sa place. La version du protocole SMB utilisée lors des opérations de fichiers est décidée lors de la phase de négociation. Pendant la phase de négociation, le client Windows Vista informe le serveur qu'il peut prendre en charge le protocole SMBv2. Si le serveur (Windows Server 2008 ou version ultérieure) comprend SMBv2, alors SMBv2 est choisi pour la communication. Si ce n'est pas le cas, le client et le serveur utilisent SMB 1.0 et continuent à fonctionner normalement. Pour plus d'informations sur SMBv2, consultez l'article MSDN sur les spécifications du protocole Server Message Block (SMB) Version 2 (en anglais).

Quelle est la différence entre SMBv1 et SMBv2 ?  
Ces deux protocoles sont utilisés par les clients pour demander des services de fichiers et d'impression à partir d'un système serveur sur le réseau. Il s'agit de deux protocoles avec état dans lesquels les clients établissent une connexion à un serveur, établissent un contexte authentifié sur cette connexion, puis émettent une série de requêtes afin d'accéder aux fichiers, aux imprimantes et aux canaux nommés pour une communication entre processus. Le protocole SMBv2 est une révision majeure du protocole SMB existant. Même si de nombreux concepts sous-jacents sont identiques, les formats des paquets sont complètement différents. En plus de fournir toutes les fonctionnalités de SMBv1, le protocole SMBv2 fournit plusieurs améliorations :

• Il permet de rétablir un fichier ouvert après la déconnexion temporaire d'une connexion client.
• Il permet au serveur d'équilibrer le nombre d'opérations simultanées qu'un client peut avoir en cours à tout moment.
• Il permet une montée en charge sur le nombre de partages, d'utilisateurs et de fichiers ouverts simultanément.
• Il prend en charge les liens symboliques.
• Il utilise un algorithme plus performant pour valider l'intégrité des requêtes et des réponses.

Quelles versions de SMB sont concernées par cette vulnérabilité  ? 
Le problème concerné par cette référence CVE affecte SMBv1 et SMBv2.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. La plupart des tentatives d'exploitation de cette vulnérabilité empêcheront le système affecté de répondre et entraîneront un redémarrage.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?  
Un attaquant pourrait héberger un serveur SMB spécialement conçu pour exploiter cette vulnérabilité puis convaincre un utilisateur d'établir une connexion SMB à ce serveur. En outre, un attaquant sur le réseau local pourrait exécuter une attaque d'interception pour répondre à une requête SMB légitime avec une réponse SMB mal formée.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Tous les systèmes d'exploitation affectés sont exposés à cette vulnérabilité.

Cette vulnérabilité peut-elle être exploitée en utilisant Internet Explorer ?  
Non. Cependant, ce problème pourrait être exploité via des transactions Web, quel que soit le type de navigateur. Dans le cas d'une attaque Web, un attaquant devrait héberger une page Web contenant un URI spécialement conçu. Un utilisateur ayant parcouru ce site Web forcerait une connexion SMB à un serveur SMB contrôlé par l'attaquant, qui renverrait ensuite une réponse mal formée à l'utilisateur. Cette réponse pourrait empêcher le système des utilisateurs de répondre. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent des contenus provenant d'utilisateurs pourraient contenir un élément malveillant susceptible d'exploiter cette vulnérabilité. Un attaquant n'aurait aucun moyen d'obliger les utilisateurs à visiter un site Web malveillant. Il devrait y attirer l'utilisateur, généralement en l'incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.

Qu'est-ce qu'un URI ?  
Un URI (Universal Resource Identifier) est une chaîne de caractères utilisés pour suivre ou identifier des ressources provenant d'Internet ou d'un réseau. Une URL est un exemple typique d'un URI qui fait référence à une ressource, telle qu'un site Web. Pour plus d'informations sur les URI, consultez la RFC-2396.

Que fait cette mise à jour ?  
Cette mise à jour de sécurité corrige la vulnérabilité en rectifiant la manière dont sont validés les champs de la réponse SMB.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d'une éventuelle exploitation de cette vulnérabilité ?  
Non. Lors de la première publication de ce Bulletin, Microsoft n'avait reçu aucune information faisant état d'une utilisation de cette vulnérabilité dans le but d'attaquer des clients.

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Les meilleures pratiques en matière de pare-feu, ainsi que les configurations par défaut des pare-feu, contribuent à protéger les réseaux contre les attaques lancées depuis l'extérieur de l'entreprise. Les meilleures pratiques recommandent que les systèmes connectés à Internet aient le moins possible de ports exposés. Dans ce cas, les ports SMB devraient être bloqués par rapport à Internet.

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

• Bloquer les ports TCP 139 et 445 au niveau du pare-feu

  Ces ports servent à établir une connexion au composant affecté. En bloquant les ports TCP 139 et 445 au niveau du pare-feu, vous protégerez les systèmes situés derrière ce pare-feu des tentatives d'exploitation de cette vulnérabilité. Pour cette vulnérabilité spécifique, le trafic SMB entrant et sortant doit être bloqué pour réduire le risque. Microsoft vous recommande de bloquer toute communication entrante non sollicitée en provenance d'Internet, afin de renforcer la protection contre des attaques qui pourraient utiliser les autres ports. Pour obtenir plus d'informations sur les ports, consultez l'article TechNet consacré aux affectations de port TCP et UDP (en anglais).

  Impact de cette solution de contournement. Plusieurs services Windows utilisent ces ports. Bloquer ces ports peut entraîner un dysfonctionnement de certaines applications ou services. Certaines applications pouvant être affectées sont répertoriées ci-dessous :

  • Applications qui utilisent SMB (CIFS)
  • Applications utilisant des mailslots ou des canaux nommés (named pipes) (RPC sur SMB)
  • Serveur (Partage de fichier et d'impression)
  • Stratégie de groupe
  • Ouverture de session réseau
  • Système de fichiers distribués (DFS)
  • Gestion de licences Terminal Server
  • Spouleur d'impression
  • Explorateur d'ordinateur
  • Localisateur d'appels de procédure distante (RPC)
  • Service de télécopie
  • Service d'indexation
  • Journaux et alertes de performances
  • Systems Management Server
  • Service d'enregistrement de licence

  Comment annuler la solution de contournement. Autorisez les ports TCP 139 et 445 au niveau du pare-feu. Pour plus d'informations sur les ports, consultez Affectations de port TCP et UDP.

Quelle est la portée de cette vulnérabilité ?  
Il s'agit d'une vulnérabilité d'exécution de code à distance. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Quelle est la cause de cette vulnérabilité ?  
Cette vulnérabilité est due à l'implémentation du client Microsoft Server Message Block (SMB) qui ne traite pas correctement les réponses à des transactions SMB spécialement conçues. Ceci pourrait créer des problèmes de corruption de mémoire entraînant une exécution de code avec un niveau de privilèges système.

Qu'est ce que le protocole Microsoft Server Message Block (SMB) ?  
Le protocole Microsoft Server Message Block (SMB) est un protocole de partage de fichiers en réseau de Microsoft utilisé dans Microsoft Windows. Pour plus d'informations sur SMB, consultez l'article MSDN consacré à la présentation des protocoles Microsoft SMB et CIFS (en anglais).

Qu'est-ce que Microsoft Server Message Block Version 2 (SMBv2) ?  
Server Message Block (SMB) est un protocole de partage de fichiers utilisé par défaut sur les ordinateurs exécutant Windows. SMB Version 2.0 (SMBv2) est une mise à jour de ce protocole prise en charge uniquement par les ordinateurs exécutant Windows Server 2008, Windows 7 et Windows Vista. SMBv2 ne peut être utilisé que si le client et le serveur le prennent tous les deux en charge. Si le client ou le serveur ne peut pas prendre en charge SMBv2, le protocole SMB 1.0 sera utilisé à sa place. La version du protocole SMB utilisée lors des opérations de fichiers est décidée lors de la phase de négociation. Pendant la phase de négociation, le client Windows Vista informe le serveur qu'il peut prendre en charge le protocole SMBv2. Si le serveur (Windows Server 2008 ou version ultérieure) comprend SMBv2, alors SMBv2 est choisi pour la communication. Si ce n'est pas le cas, le client et le serveur utilisent SMB 1.0 et continuent à fonctionner normalement. Pour plus d'informations sur SMBv2, consultez l'article MSDN sur les spécifications du protocole Server Message Block (SMB) Version 2 (en anglais).

Quelle est la différence entre SMBv1 et SMBv2 ?  
Ces deux protocoles sont utilisés par les clients pour demander des services de fichiers et d'impression à partir d'un système serveur sur le réseau. Il s'agit de deux protocoles avec état dans lesquels les clients établissent une connexion à un serveur, établissent un contexte authentifié sur cette connexion, puis émettent une série de requêtes afin d'accéder aux fichiers, aux imprimantes et aux canaux nommés pour une communication entre processus. Le protocole SMBv2 est une révision majeure du protocole SMB existant. Même si de nombreux concepts sous-jacents sont identiques, les formats des paquets sont complètement différents. En plus de fournir toutes les fonctionnalités de SMBv1, le protocole SMBv2 fournit plusieurs améliorations :

• Il permet de rétablir un fichier ouvert après la déconnexion temporaire d'une connexion client.
• Il permet au serveur d'équilibrer le nombre d'opérations simultanées qu'un client peut avoir en cours à tout moment.
• Il permet une montée en charge sur le nombre de partages, d'utilisateurs et de fichiers ouverts simultanément.
• Il prend en charge les liens symboliques.
• Il utilise un algorithme plus performant pour valider l'intégrité des requêtes et des réponses.

Quelles versions de SMB sont concernées par cette vulnérabilité  ? 
Cette vulnérabilité concerne SMBv1 et SMBv2.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. La plupart des tentatives d'exploitation de cette vulnérabilité empêcheront le système affecté de répondre et entraîneront un redémarrage.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?  
Un attaquant pourrait héberger un serveur SMB spécialement conçu pour exploiter cette vulnérabilité puis convaincre un utilisateur d'établir une connexion SMB à ce serveur. En outre, un attaquant sur le réseau local pourrait exécuter une attaque d'interception pour répondre à une requête SMB légitime avec une réponse SMB mal formée.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Tous les systèmes d'exploitation affectés sont exposés à cette vulnérabilité.

Pourquoi un niveau de gravité « faible » est-il indiqué pour Windows 7 et Windows Server 2008 R2 ?  
Bien que cette vulnérabilité n'affecte pas directement ces plates-formes, il est possible que des filtres TDI tiers soient vulnérables face à ce problème. Cette mise à jour corrige ce problème. Ces plates-formes ne sont pas fournies avec des filtres TDI vulnérables face à ce problème. Microsoft n'a pas connaissance de filtres TDI tiers concernés par ce problème.

Cette vulnérabilité peut-elle être exploitée en utilisant Internet Explorer ?  
Non. Cependant, ce problème pourrait être exploité via des transactions Web, quel que soit le type de navigateur. Dans le cas d'une attaque Web, un attaquant devrait héberger une page Web contenant un URI spécialement conçu. Un utilisateur ayant parcouru ce site Web forcerait une connexion SMB à un serveur SMB contrôlé par l'attaquant, qui renverrait ensuite une réponse mal formée à l'utilisateur. Cette réponse pourrait empêcher le système des utilisateurs de répondre. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent des contenus provenant d'utilisateurs pourraient contenir un élément malveillant susceptible d'exploiter cette vulnérabilité. Un attaquant n'aurait aucun moyen d'obliger les utilisateurs à visiter un site Web malveillant. Il devrait y attirer l'utilisateur, généralement en l'incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.

Qu'est-ce qu'un URI ?  
Un URI (Universal Resource Identifier) est une chaîne de caractères utilisés pour suivre ou identifier des ressources provenant d'Internet ou d'un réseau. Une URL est un exemple typique d'un URI qui fait référence à une ressource, telle qu'un site Web. Pour plus d'informations sur les URI, consultez la RFC-2396.

Que fait cette mise à jour ?  
Cette mise à jour de sécurité corrige la vulnérabilité en rectifiant la manière dont le client SMB traite les réponses à des transactions SMB spécialement conçues.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d'une éventuelle exploitation de cette vulnérabilité ?  
Non. Lors de la première publication de ce Bulletin, Microsoft n'avait reçu aucune information faisant état d'une utilisation de cette vulnérabilité dans le but d'attaquer des clients.

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Les meilleures pratiques en matière de pare-feu, ainsi que les configurations par défaut des pare-feu, contribuent à protéger les réseaux contre les attaques lancées depuis l'extérieur de l'entreprise. Les meilleures pratiques recommandent que les systèmes connectés à Internet aient le moins possible de ports exposés. Dans ce cas, les ports SMB devraient être bloqués par rapport à Internet.

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

• Bloquer les ports TCP 139 et 445 au niveau du pare-feu

  Ces ports servent à établir une connexion au composant affecté. En bloquant les ports TCP 139 et 445 au niveau du pare-feu, vous protégerez les systèmes situés derrière ce pare-feu des tentatives d'exploitation de cette vulnérabilité. Pour cette vulnérabilité spécifique, le trafic SMB entrant et sortant doit être bloqué pour réduire le risque. Microsoft vous recommande de bloquer toute communication entrante non sollicitée en provenance d'Internet, afin de renforcer la protection contre des attaques qui pourraient utiliser les autres ports. Pour obtenir plus d'informations sur les ports, consultez l'article TechNet consacré aux affectations de port TCP et UDP (en anglais).

  Impact de cette solution de contournement. Plusieurs services Windows utilisent ces ports. Bloquer ces ports peut entraîner un dysfonctionnement de certaines applications ou services. Certaines applications pouvant être affectées sont répertoriées ci-dessous :

  • Applications qui utilisent SMB (CIFS)
  • Applications utilisant des mailslots ou des canaux nommés (named pipes) (RPC sur SMB)
  • Serveur (Partage de fichier et d'impression)
  • Stratégie de groupe
  • Ouverture de session réseau
  • Système de fichiers distribués (DFS)
  • Gestion de licences Terminal Server
  • Spouleur d'impression
  • Explorateur d'ordinateur
  • Localisateur d'appels de procédure distante (RPC)
  • Service de télécopie
  • Service d'indexation
  • Journaux et alertes de performances
  • Systems Management Server
  • Service d'enregistrement de licence

  Comment annuler la solution de contournement. Autorisez les ports TCP 139 et 445 au niveau du pare-feu. Pour plus d'informations sur les ports, consultez Affectations de port TCP et UDP.

Quelle est la portée de cette vulnérabilité ?  
Il s'agit d'une vulnérabilité d'exécution de code à distance. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Quelle est la cause de cette vulnérabilité ?  
Cette vulnérabilité est due à l'implémentation du client Microsoft Server Message Block (SMB) qui traite de manière incorrecte des réponses SMB spécialement conçues, ce qui pousse le client SMB à monopoliser la réponse entière et à indiquer une valeur non valide au noyau Winsock.

Qu'est ce que le protocole Microsoft Server Message Block (SMB) ?  
Le protocole Microsoft Server Message Block (SMB) est un protocole de partage de fichiers en réseau de Microsoft utilisé dans Microsoft Windows. Pour plus d'informations sur SMB, consultez l'article MSDN consacré à la présentation des protocoles Microsoft SMB et CIFS (en anglais).

Qu'est-ce que Microsoft Server Message Block Version 2 (SMBv2) ?  
Server Message Block (SMB) est un protocole de partage de fichiers utilisé par défaut sur les ordinateurs exécutant Windows. SMB Version 2.0 (SMBv2) est une mise à jour de ce protocole prise en charge uniquement par les ordinateurs exécutant Windows Server 2008, Windows 7 et Windows Vista. SMBv2 ne peut être utilisé que si le client et le serveur le prennent tous les deux en charge. Si le client ou le serveur ne peut pas prendre en charge SMBv2, le protocole SMB 1.0 sera utilisé à sa place. La version du protocole SMB utilisée lors des opérations de fichiers est décidée lors de la phase de négociation. Pendant la phase de négociation, le client Windows Vista informe le serveur qu'il peut prendre en charge le protocole SMBv2. Si le serveur (Windows Server 2008 ou version ultérieure) comprend SMBv2, alors SMBv2 est choisi pour la communication. Si ce n'est pas le cas, le client et le serveur utilisent SMB 1.0 et continuent à fonctionner normalement. Pour plus d'informations sur SMBv2, consultez l'article MSDN sur les spécifications du protocole Server Message Block (SMB) Version 2 (en anglais).

Quelle est la différence entre SMBv1 et SMBv2 ?  
Ces deux protocoles sont utilisés par les clients pour demander des services de fichiers et d'impression à partir d'un système serveur sur le réseau. Il s'agit de deux protocoles avec état dans lesquels les clients établissent une connexion à un serveur, établissent un contexte authentifié sur cette connexion, puis émettent une série de requêtes afin d'accéder aux fichiers, aux imprimantes et aux canaux nommés pour une communication entre processus. Le protocole SMBv2 est une révision majeure du protocole SMB existant. Même si de nombreux concepts sous-jacents sont identiques, les formats des paquets sont complètement différents. En plus de fournir toutes les fonctionnalités de SMBv1, le protocole SMBv2 fournit plusieurs améliorations :

• Il permet de rétablir un fichier ouvert après la déconnexion temporaire d'une connexion client.
• Il permet au serveur d'équilibrer le nombre d'opérations simultanées qu'un client peut avoir en cours à tout moment.
• Il permet une montée en charge sur le nombre de partages, d'utilisateurs et de fichiers ouverts simultanément.
• Il prend en charge les liens symboliques.
• Il utilise un algorithme plus performant pour valider l'intégrité des requêtes et des réponses.

Quelles versions de SMB sont concernées par cette vulnérabilité  ? 
Le problème concerné par cette référence CVE affecte SMBv1 et SMBv2.

Qu'est-ce que le noyau Winsock  ? 
Le noyau Winsock (WSK) est une interface de programmation réseau (NPI) en mode noyau. Avec le noyau Winsock (WSK), les modules logiciels en mode noyau peuvent exécuter des opérations d'E/S réseau à l'aide des mêmes concepts de programmation socket que ceux pris en charge par Winsock2 en mode utilisateur. L'interface de programmation réseau (NPI) prend en charge les opérations de socket classiques, telles que la création de socket, la liaison, l'établissement de connexion et les transferts de données (envoi et réception). Cependant, si l'interface de programmation réseau (NPI) prend en charge la plupart des concepts de programmation socket pris en charge par Winsock2 en mode utilisateur, il s'agit pourtant d'une interface totalement nouvelle et différente avec des caractéristiques uniques, telles que des E/S asynchrones utilisant des paquets IRP et des rappels d'événements pour améliorer les performances. Pour plus d'informations, consultez l'article MSDN consacré au noyau Winsock (en anglais).

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. La plupart des tentatives d'exploitation de cette vulnérabilité empêcheront le système affecté de répondre et entraîneront un redémarrage.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?  
Un attaquant pourrait héberger un serveur SMB spécialement conçu pour exploiter cette vulnérabilité puis convaincre un utilisateur d'établir une connexion SMB à ce serveur. En outre, un attaquant sur le réseau local pourrait exécuter une attaque d'interception pour répondre à une requête SMB légitime avec une réponse SMB mal formée.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Tous les systèmes d'exploitation affectés sont exposés à cette vulnérabilité.

Cette vulnérabilité peut-elle être exploitée en utilisant Internet Explorer ?  
Non. Cependant, ce problème pourrait être exploité via des transactions Web, quel que soit le type de navigateur. Dans le cas d'une attaque Web, un attaquant devrait héberger une page Web contenant un URI spécialement conçu. Un utilisateur ayant parcouru ce site Web forcerait une connexion SMB à un serveur SMB contrôlé par l'attaquant, qui renverrait ensuite une réponse mal formée à l'utilisateur. Cette réponse pourrait empêcher le système des utilisateurs de répondre. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent des contenus provenant d'utilisateurs pourraient contenir un élément malveillant susceptible d'exploiter cette vulnérabilité. Un attaquant n'aurait aucun moyen d'obliger les utilisateurs à visiter un site Web malveillant. Il devrait y attirer l'utilisateur, généralement en l'incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.

Qu'est-ce qu'un URI ?  
Un URI (Universal Resource Identifier) est une chaîne de caractères utilisés pour suivre ou identifier des ressources provenant d'Internet ou d'un réseau. Une URL est un exemple typique d'un URI qui fait référence à une ressource, telle qu'un site Web. Pour plus d'informations sur les URI, consultez la RFC-2396.

Que fait cette mise à jour ?  
Cette mise à jour de sécurité corrige la vulnérabilité en rectifiant la manière dont le client SMB traite des réponses SMB spécialement conçues.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Non. Microsoft a été informé de cette vulnérabilité par une divulgation responsable.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d'une éventuelle exploitation de cette vulnérabilité ?  
Non. Lors de la première publication de ce Bulletin, Microsoft n'avait reçu aucune information faisant état d'une utilisation de cette vulnérabilité dans le but d'attaquer des clients.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Remarque : Pour Windows XP Professionnel Édition x64, cette mise à jour de sécurité est identique à celle de Windows Server 2003 Édition x64.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.