Bulletin de sécurité Microsoft MS10-022 - Important

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Cette vulnérabilité ne peut pas être exploitée sur Windows Vista, Windows Server 2008, Windows 7 ni Windows Server 2008 R2.
• Cette vulnérabilité nécessite une intervention de l'utilisateur. Cette vulnérabilité ne pourrait pas être exploitée sans l'intervention de l'utilisateur, même si l'utilisateur consultait un site Web malveillant. Au lieu de cela, l'attaquant devrait convaincre l'utilisateur d'appuyer sur la touche F1 du clavier alors que le site Web affiche une boîte de dialogue contenant un script.
• Dans le cas d'une attaque Web, l'attaquant devrait héberger un site Web qui contiendrait une page Web spécialement conçue pour exploiter cette vulnérabilité. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent des contenus ou des annonces provenant d'utilisateurs pourraient contenir un contenu malveillant susceptible d'exploiter cette vulnérabilité. Cependant, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Il devrait y attirer l'utilisateur, généralement en l'incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.
• Par défaut, toutes les versions en cours de support de Microsoft Outlook, Microsoft Outlook Express et de Windows Mail ouvrent les messages au format HTML dans la zone Sites sensibles, éliminant le risque qu'un attaquant qui puisse utiliser cette vulnérabilité pour exécuter du code malveillant. La zone Sites sensibles contribue à atténuer les attaques qui tenteraient d'exploiter cette vulnérabilité en empêchant les contrôles Active Scripting et ActiveX d'être utilisés lors de la lecture de message au format HTML. Cependant, en cliquant sur un lien figurant dans un message électronique, l'utilisateur s'expose toujours à une attaque Web exploitant cette vulnérabilité. De plus, Outlook 2007 utilise un composant différent pour afficher un message électronique au format HTML, supprimant le risque de cette exploitation.
• Par défaut, Internet Explorer sur Windows Server 2003 s'exécute selon un mode restreint nommé Configuration de sécurité améliorée. Ce mode définit le niveau de sécurité pour la zone Internet sur Élevé. C'est un facteur atténuant pour les sites Web qui n'ont pas été ajoutés à la zone Sites de confiance d'Internet Explorer.
• Tout attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

• Ne pas appuyer sur la touche F1 lorsqu'un site Web vous y invite

  Une exploitation réussie de cette vulnérabilité nécessite l'aide des utilisateurs en appuyant sur la touche F1 de leur clavier. Notre analyse indique que si les utilisateurs n'appuient pas sur la touche F1 de leur clavier, la vulnérabilité ne peut pas être exploitée.

  Par conséquent, des sites Web malveillants peuvent tenter de convaincre les utilisateurs d'appuyer sur la touche F1. Un tel site Web pourrait invoquer une boucle infinie de boîtes de dialogue qui demanderaient à l'utilisateur d'appuyer sur la touche F1 pour arrêter la boucle, ou proposer des informations de prix ou d'aide disponibles via la touche F1.

  Nous conseillons aux utilisateurs d'éviter d'appuyer sur F1 sur une page Web ou tout autre contenu Internet. Si une boîte de dialogue s'affiche à plusieurs reprises pour essayer de convaincre l'utilisateur d'appuyer sur F1, les utilisateurs peuvent fermer la session sur le système ou utiliser le Gestionnaire des tâches pour fermer Internet Explorer.

• Limiter l'accès au système d'Aide de Windows

  Une exploitation réussie de cette vulnérabilité nécessite que le système d'Aide de Windows fonctionne. Vous pouvez vous protéger contre cette vulnérabilité en modifiant la liste de contrôle d'accès pour winhlp32.exe afin qu'elle soit plus restrictive sur Windows 2000, Windows XP et Windows Server 2003. Exécutez la commande suivante à partir d'une ligne de commande administrateur :

  echo Y | cacls "%windir%\winhlp32.exe" /E /P everyone:N
  

  Remarque : Vous devez avoir ouvert une session en tant qu'administrateur ou posséder des autorisations d'administration pour mettre en œuvre cette solution de contournement.

  Remarque : Vous devez remplacer sur un système Windows en français everyone par "tout le monde" dans les commandes précédentes.

  Impact de cette solution de contournement. Le système d'Aide de Windows sera désactivé et les utilisateurs ne pourront pas invoquer la fonction d'aide des applications. La tentative d'ouverture de la fonction d'Aide des applications peut générer un message d'erreur.

  Comment annuler la solution de contournement.

  Exécutez la commande suivante dans une ligne de commande administrateur :

  echo Y | cacls "%windir%\winhlp32.exe" /E /P everyone
  

  Remarque : Vous devez avoir ouvert une session en tant qu'administrateur ou posséder des autorisations d'administration pour annuler cette solution de contournement.

  Remarque : Vous devez remplacer sur un système Windows en français everyone par "tout le monde" dans les commandes précédentes.

• Définissez les paramètres des zones Intranet local et Internet sur la valeur « Élevé » afin de bloquer les contrôles ActiveX et Active Scripting dans ces zones

  Vous pouvez vous protéger contre cette vulnérabilité en modifiant les paramètres de la zone de sécurité Internet afin de bloquer les contrôles ActiveX et Active Scripting. Réglez la sécurité de votre navigateur sur la valeur Élevé.

  Pour augmenter le niveau de sécurité de navigation dans Internet Explorer :

  1. Dans le menu Outils d'Internet Explorer, cliquez sur Options Internet.
  2. Dans la boîte de dialogue Options Internet, cliquez sur l'onglet Sécurité, puis sur l'icône Internet.
  3. Sous Niveau de sécurité pour cette zone, positionnez le curseur sur Élevé. Cela définit un niveau de sécurité élevé pour tous les sites Web que vous visitez.

  Remarque : Si aucun curseur n'est visible, cliquez sur Niveau par défaut, puis déplacez le curseur sur Élevé.

  Remarque : La définition du niveau de sécurité sur Élevé risque de perturber le fonctionnement de certains sites Web. Si vous rencontrez des difficultés lors de la visite d'un site Web après avoir modifié ce paramètre et que vous êtes certain de la fiabilité de ce site, vous pouvez ajouter ce dernier à votre liste de sites de confiance. Cela permettra à ce site de s'afficher correctement même si le niveau de sécurité est défini sur Élevé.

  Impact de cette solution de contournement. Le blocage des contrôles ActiveX et d'Active Scripting comporte des effets secondaires. De nombreux sites Web situés sur Internet ou sur un Intranet utilisent ActiveX ou Active Scripting pour offrir des fonctionnalités supplémentaires. Par exemple, un site de commerce électronique en ligne ou un site bancaire peuvent utiliser des contrôles ActiveX pour proposer des menus, des bons de commande ou même des relevés de compte. Le blocage des contrôles ActiveX ou d'Active Scripting est un paramètre global qui affecte tous les sites Internet et Intranet. Si vous ne voulez pas bloquer les contrôles ActiveX ou Active Scripting pour ces sites, suivez les étapes décrites dans la section « Ajouter des sites de confiance à la zone Sites de confiance d'Internet Explorer ».

  Ajouter des sites de confiance à la zone Sites de confiance d'Internet Explorer

  Après avoir configuré Internet Explorer afin de bloquer les contrôles ActiveX et Active Scripting dans les zones Internet et Intranet local, vous pouvez ajouter des sites de confiance dans la zone Sites de confiance d'Internet Explorer. Cette opération vous permettra de continuer à utiliser vos sites de confiance exactement comme vous le faites aujourd'hui, tout en vous protégeant contre cette attaque sur les autres sites. Nous vous recommandons d'ajouter uniquement des sites de confiance à la zone Sites de confiance.

  Procédez comme suit :

  1. Dans Internet Explorer, cliquez sur Outils, sur Options Internet, puis sur l'onglet Sécurité.
  2. Dans la zone Sélectionnez une zone de contenu Web pour spécifier ses paramètres de sécurité, cliquez sur Sites de confiance, puis sur Sites.
  3. Si vous souhaitez ajouter des sites qui ne requièrent pas un canal chiffré, désactivez la case à cocher Nécessite un serveur sécurisé (https:) pour tous les sites dans cette zone.
  4. Dans la zone Ajouter ce site Web à la zone, saisissez l'URL d'un site de confiance, puis cliquez sur Ajouter.
  5. Répétez ces étapes pour chaque site que vous souhaitez ajouter à cette zone.
  6. Cliquez sur OK à deux reprises pour accepter les modifications et retourner dans Internet Explorer.

  Remarque : Ajoutez les sites dont vous savez qu'ils n'effectueront pas d'action malveillante sur votre système. Vous pouvez notamment ajouter les sites « *.windowsupdate.microsoft.com » et « *.update.microsoft.com ». Il s'agit des sites qui hébergent la mise à jour et ils requièrent un contrôle ActiveX pour leur installation.

• Configurer Internet Explorer de manière à ce qu'il désactive Active Scripting ou à ce qu'il vous avertisse avant de l'exécuter dans la zone de sécurité Intranet local et Internet.

  Vous pouvez vous protéger contre cette vulnérabilité en modifiant vos paramètres afin d'être averti avant l'exécution d'Active Scripting ou afin de désactiver Active Scripting dans les zones de sécurité Intranet local et Internet. Procédez comme suit :

  1. Dans Internet Explorer, cliquez sur Outils, sur Options Internet, puis sur l'onglet Sécurité.
  2. Cliquez sur Internet, puis sur Personnaliser le niveau.
  3. Sous Paramètres, dans la section Script, sous Active Scripting, cliquez sur Demander ou Désactiver, puis sur OK.
  4. Cliquez sur Intranet local, puis sur Personnaliser le niveau.
  5. Sous Paramètres, dans la section Script, sous Active Scripting, cliquez sur Demander ou Désactiver, puis sur OK.
  6. Cliquez sur OK à deux reprises pour accepter les modifications et retourner dans Internet Explorer.

  Remarque : La désactivation d'Active Scripting dans les zones de sécurité Intranet local et Internet risque de perturber le fonctionnement de certains sites Web. Si vous rencontrez des difficultés lors de la visite d'un site Web après avoir modifié ce paramètre et que vous êtes certain de la fiabilité de ce site, vous pouvez ajouter ce dernier à votre liste de sites de confiance. Il pourra ainsi s'afficher correctement.

  Impact de cette solution de contournement. L'affichage d'un message de confirmation avant l'exécution d'Active Scripting comporte des effets secondaires. De nombreux sites Web situés sur Internet ou sur un Intranet utilisent Active Scripting pour offrir des fonctionnalités supplémentaires. Par exemple, un site de commerce électronique en ligne ou un site bancaire peuvent utiliser Active Scripting pour proposer des menus, des bons de commande ou même des relevés de compte. L'affichage d'un message de confirmation avant l'exécution d'Active Scripting est un paramètre global qui affecte tous les sites Internet et Intranet. De nombreux messages s'affichent lorsque vous mettez en œuvre cette solution de contournement. Pour chacun d'eux, si vous pensez que le site que vous visitez est un site de confiance, cliquez sur Oui afin d'exécuter Active Scripting. Si vous ne voulez pas recevoir d'invite pour tous ces sites, suivez les étapes décrites dans la section « Ajouter des sites de confiance à la zone Sites de confiance d'Internet Explorer ».

  Ajouter des sites de confiance à la zone Sites de confiance d'Internet Explorer

  Après avoir configuré Internet Explorer afin de bloquer les contrôles ActiveX et Active Scripting dans les zones Internet et Intranet local, vous pouvez ajouter des sites de confiance dans la zone Sites de confiance d'Internet Explorer. Cette opération vous permettra de continuer à utiliser vos sites de confiance exactement comme vous le faites aujourd'hui, tout en vous protégeant contre cette attaque sur les autres sites. Nous vous recommandons d'ajouter uniquement des sites de confiance à la zone Sites de confiance.

  Procédez comme suit :

  1. Dans Internet Explorer, cliquez sur Outils, sur Options Internet, puis sur l'onglet Sécurité.
  2. Dans la zone Sélectionnez une zone de contenu Web pour spécifier ses paramètres de sécurité, cliquez sur Sites de confiance, puis sur Sites.
  3. Si vous souhaitez ajouter des sites qui ne requièrent pas un canal chiffré, désactivez la case à cocher Nécessite un serveur sécurisé (https:) pour tous les sites dans cette zone.
  4. Dans la zone Ajouter ce site Web à la zone, saisissez l'URL d'un site de confiance, puis cliquez sur Ajouter.
  5. Répétez ces étapes pour chaque site que vous souhaitez ajouter à cette zone.
  6. Cliquez sur OK à deux reprises pour accepter les modifications et retourner dans Internet Explorer.

  Remarque : Ajoutez les sites dont vous savez qu'ils n'effectueront pas d'action malveillante sur votre système. Vous pouvez notamment ajouter les sites « *.windowsupdate.microsoft.com » et « *.update.microsoft.com ». Il s'agit des sites qui hébergent la mise à jour et ils requièrent un contrôle ActiveX pour leur installation.

Quelle est la portée de cette vulnérabilité ?  
Il s'agit d'une vulnérabilité d'exécution de code à distance. Un attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur connecté. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Quelle est la cause de cette vulnérabilité ?  
Cette vulnérabilité est liée à la manière dont VBScript interagit avec les fichiers d'Aide de Windows lors de l'utilisation d'Internet Explorer. Tant que les fichiers d'Aide de Windows demeurent non fiables, l'implémentation de VBScript sur les systèmes affectés permet à un attaquant d'indiquer l'emplacement d'un fichier d'Aide en affichant une boîte de dialogue sur une page Web. Si un visiteur appuyait sur la touche F1 pendant qu'une telle boîte de dialogue est affichée, ce fichier d'Aide spécialement conçu pourrait être chargé par le système d'Aide de Windows, permettant ainsi l'exécution de code arbitraire dans le contexte de l'utilisateur connecté.

Qu'est-ce que VBScript ?  
VBScript (Visual Basic Script) est un langage de script interprété, basé sur des objets, qui est fréquemment utilisé pour rendre les sites Web plus flexibles ou plus interactifs. Les scripts VBScript peuvent s'exécuter uniquement en la présence d'un interpréteur ou d'un hôte, tel qu'ASP (Active Server Pages), Internet Explorer ou Windows Script Host. Pour plus d'informations, consultez l'article MSDN consacré aux principes fondamentaux de VBScript (en anglais).

Quels sont les types de fichier non fiables ?  
Microsoft utilise le concept de « types de fichiers non fiables » pour aider à mieux protéger les utilisateurs du contenu exécutable qu'un attaquant pourrait intégrer dans de tels fichiers. Pour plus d'informations à ce sujet, consultez le livre blanc consacré au contenu exécutable dans les produits Microsoft (en anglais) et l'Article 291369 de la Base de connaissances Microsoft.

Qu'est-ce que la touche F1 ?  
La touche F1 est l'une des 12 touches de fonction (F1 – F12) d'un clavier standard, généralement située sur la première ligne de touches. Un simple appui sur les touches de fonction du clavier permet aux utilisateurs d'exécuter certaines fonctions d'une application. Dans la plupart des applications, la touche F1 ouvre la fonction d'Aide et de nombreux utilisateurs sont familiers avec les instructions telles que « Pour obtenir de l'aide, appuyez sur F1 ».

Qu'est-ce que la défense en profondeur ?  
Dans le domaine de la sécurité des informations, la défense en profondeur implique la mise en place de plusieurs couches de défense afin d'empêcher les attaquants de compromettre la sécurité d'un réseau ou d'un système.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Un attaquant pourrait exécuter du code arbitraire dans le contexte de l'utilisateur connecté. Si un utilisateur est connecté avec des privilèges d'administrateur, un attaquant pourrait prendre le contrôle intégral du système affecté.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?  
Pour exploiter cette vulnérabilité, un attaquant doit convaincre un utilisateur de consulter une page Web spécialement conçue qui affiche une boîte de dialogue, puis d'appuyer sur la touche F1 du clavier pendant que cette boîte de dialogue est affichée.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Les systèmes client, poste de travail ou Terminal Server sur lesquels Internet Explorer est utilisé comme navigateur Internet sont les plus exposés.

J'exécute Internet Explorer sur Windows Server 2003 ou Windows Server 2008. Ceci limite-t-il cette vulnérabilité ? 
Par défaut, Internet Explorer sur Windows Server 2003 et Windows Server 2008 s'exécute selon un mode restreint appelé Configuration de sécurité améliorée qui permet d'atténuer cette vulnérabilité La Configuration de sécurité améliorée d'Internet Explorer est un groupe de paramètres Internet Explorer préconfigurés qui réduit le risque qu'un utilisateur ou qu'un administrateur ne télécharge et n'exécute un contenu Web spécialement conçu sur un serveur. C'est un facteur atténuant pour les sites Web qui n'ont pas été ajoutés à la zone Sites de confiance d'Internet Explorer. Consultez également le guide « Gestion de la configuration de sécurité améliorée d'Internet Explorer ».

Comment suis-je protégé en configurant le paramètre de la zone de sécurité Internet sur la valeur « Élevé » ?  
Paramétrer la zone de sécurité Internet sur la valeur « Élevé » protège contre cette vulnérabilité en désactivant Active Scripting, lequel est requis pour exploiter cette vulnérabilité.

Pourquoi cette vulnérabilité n'est-il pas exploitable sur WindowsVista, Windows Server 2008, Windows 7 ou Windows Server 2008 R2 ?  
Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2 incluent des améliorations architecturales liées à l'interaction d'Internet Explorer avec le système d'exploitation Windows et VBScript. Ceci empêche l'exploitation de cette vulnérabilité, bien que le code vulnérable soit présent sur les systèmes dans lesquels les utilisateurs ont installé le système d'Aide de Windows.

Que fait cette mise à jour ?  
Cette mise à jour de sécurité corrige la vulnérabilité en modifiant la façon dont le moteur VBScript traite les fichiers d'Aide en mode protégé sur les versions affectées des systèmes d'exploitation Windows. Sur Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2, aucun vecteur d'attaque permettant d'exploiter cette vulnérabilité n'est actuellement connu, mais cette mise à jour peut être installée en tant que mesure de défense en profondeur.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro « Common Vulnerability and Exposure » CVE-2010-0483. Cette vulnérabilité a été décrite dans l'Avis de sécurité Microsoft 981169.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d'une éventuelle exploitation de cette vulnérabilité ?  
Non. Lors de la première publication de ce Bulletin, Microsoft n'avait reçu aucune information faisant état d'une utilisation de cette vulnérabilité dans le but d'attaquer des clients.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Remarque : Pour Windows XP Professionnel Édition x64, cette mise à jour de sécurité est identique à celle de Windows Server 2003 Édition x64.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.