Bulletin de sécurité Microsoft MS10-042 - Critique

Une atténuation fait référence à un paramètre, une configuration générale ou à des préférences existant dans un état par défaut qui pourraient diminuer l'impact de l'exploitation d'une vulnérabilité. Les facteurs atténuants suivants peuvent être utiles, selon votre situation :

• Dans le cas d'une attaque Web, l'attaquant devrait héberger un site Web qui contiendrait une page Web spécialement conçue pour exploiter cette vulnérabilité. En outre, les sites Web compromis et les sites Web qui acceptent ou hébergent des contenus ou des annonces provenant d'utilisateurs pourraient contenir un contenu malveillant susceptible d'exploiter cette vulnérabilité. Cependant, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Il devrait y attirer l'utilisateur, généralement en l'incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site.
• La vulnérabilité ne peut pas être exploitée automatiquement par le biais des messages électroniques. Pour qu'une attaque aboutisse, il faut que l'utilisateur clique sur un lien faisant partie du message électronique.
• Tout attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Une solution de contournement fait référence à une modification de paramètre ou de configuration qui ne corrige pas la vulnérabilité sous-jacente mais qui pourrait contribuer à bloquer certains vecteurs d'attaque connus jusqu'à ce que la mise à jour soit appliquée. Microsoft a testé les solutions de contournement suivantes et indique le cas échéant si une solution réduit certaines fonctionnalités :

• Annuler l'inscription du protocole HCP

Remarque : Consultez l'Article 2229593 de la Base de connaissances Microsoft pour utiliser la solution automatisée Fix it de Microsoft et activer ou désactiver cette solution de contournement.

Remarque : Toute mauvaise utilisation de l'Éditeur du Registre peut générer des problèmes sérieux pouvant vous obliger à réinstaller votre système d'exploitation. Microsoft ne peut garantir que les problèmes résultant d'une mauvaise utilisation de l'Éditeur du Registre pourront être résolus. L'utilisation de l'Éditeur du Registre relève de votre responsabilité. Pour savoir comment modifier le Registre, consultez la rubrique d'Aide « Modifier des clés et des valeurs » dans l'Éditeur du Registre (Regedit.exe) ou les rubriques d'Aide « Ajouter et supprimer des informations dans le Registre » et « Modifier les données du Registre » dans Regedt32.exe.

La désinscription du protocole HCP empêche l'exploitation de ce problème sur les systèmes affectés.

Utilisation de la méthode interactive

1. Cliquez sur Démarrer, puis sur Exécuter, saisissez Regedit dans la zone Ouvrir, puis cliquez sur OK.
2. Localisez la clé de Registre suivante et cliquez dessus :
   
   HKEY_CLASSES_ROOT\HCP
3. Cliquez sur le menu Fichier et sélectionnez Exporter.
4. Dans la boîte de dialogue Exporter un fichier du Registre, saisissez HCP_Procotol_Backup.reg, puis cliquez sur Enregistrer.
   
   Remarque : Ceci créera une sauvegarde de cette clé de Registre dans le dossier Mes Documents par défaut.
5. Appuyez sur la touche Suppr du clavier pour supprimer la clé de Registre. Lorsque vous êtes invité à supprimer la clé de Registre via la boîte de dialogue Confirmer la suppression de la clé, cliquez sur Oui.

Utilisation d'un script de déploiement

1. Créez une copie de sauvegarde des clés de Registre à l'aide d'un script de déploiement contenant les commandes suivantes :
   
   Regedit.exe /e HCP_Protocol_Backup.reg HKEY_CLASSES_ROOT\HCP
2. Enregistrez ensuite ce qui suit dans un fichier portant l'extension .REG, tel que Disable_HCP_Protocol.reg :
   
   Windows Registry Editor Version 5.00
   
   [-HKEY_CLASSES_ROOT\HCP]
3. Exécutez le script de Registre ci-dessus sur la machine cible à l'aide de la commande suivante à partir d'une invite de commande avec privilèges élevés :
   
   Regedit.exe /s Disable_HCP_Protocol.reg

Impact de cette solution de contournement : L’annulation de l’inscription du protocole HCP rompt tous les liens d’aide locaux et légitimes qui utilisent le préfixe hcp://. Il se peut par exemple que les liens situés dans le Panneau de configuration ne fonctionnent plus.

Comment annuler la solution de contournement

Utilisation de la méthode interactive

1. Cliquez sur Démarrer, puis sur Exécuter, tapez Regedit dans la zone Ouvrir, puis cliquez sur OK.
2. Cliquez sur le menu Fichier et sélectionnez Importer.
3. Dans la boîte de dialogue Importer un fichier du Registre, sélectionnez HCP_Procotol_Backup.reg, puis cliquez sur Ouvrir.

Utilisation d'un script de déploiement

• Restaurez l'état original en exécutant la commande suivante :
  
  Regedit.exe /s HCP_Protocol_Backup.reg

Quelle est la portée de cette vulnérabilité ?  
Il s'agit d'une vulnérabilité d'exécution de code à distance. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges.

Quelle est la cause de cette vulnérabilité ?  
Le Centre d'aide et de support Windows ne valide pas correctement les URL lors de l'utilisation du protocole HCP.

Qu'est-ce que le Centre d'aide et de support ?  
Le Centre d’aide et de support est une fonctionnalité de Windows qui offre une assistance sur toutes sortes de sujets. Par exemple, elle permet aux utilisateurs de s’informer sur les fonctionnalités de Windows, de télécharger et d’installer des mises à jour de logiciels, de déterminer si un matériel donné est compatible avec Windows, d’obtenir l’assistance de Microsoft, etc. Les utilisateurs et les programmes peuvent se connecter par des liens URL au Centre d'aide et de support en utilisant, dans un lien URL, le préfixe "hcp://".

Qu'est-ce que le protocole HCP ?  
Similaire au protocole HTTP utilisé pour exécuter des liens URL à ouvrir dans un navigateur Web, le protocole HCP permet d'exécuter des liens URL pour ouvrir le Centre d'aide et de support.

Les applications tierces sont-elles directement affectées par ce problème ?  
Non. Cependant, ce problème pourrait être exploité via des transactions Web, quel que soit le type de navigateur. Dans le cas d'une attaque Web, un attaquant devrait héberger une page Web contenant un URI spécialement conçu. Toute application capable de traiter le protocole HCP peut être utilisée comme vecteur pour exploiter ce problème.

Pourquoi cette vulnérabilité est-elle de niveau « faible » pour Windows Server 2003 ?  
Cette vulnérabilité existe dans Windows Server 2003, mais nous n'avons pas trouvé de méthode pour pouvoir l'exploiter à distance sur les serveurs exécutant Windows Server 2003. Néanmoins, cette mise à jour corrige cette vulnérabilité pour Windows Server 2003 en supprimant la menace décrite d'un vecteur à distance.

Qu'est-ce qu'un URI ?  
Un URI (Universal Resource Identifier) est une chaîne de caractères utilisés pour suivre ou identifier des ressources provenant d'Internet ou d'un réseau. Une URL est un exemple typique d'un URI qui fait référence à une ressource, telle qu'un site Web. Pour plus d'informations sur les URI, consultez la RFC-2396.

Que pourrait faire un attaquant en exploitant cette vulnérabilité ?  
Si un utilisateur a ouvert une session avec des privilèges d'administrateur, un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Les utilisateurs dont les comptes sont configurés avec des privilèges moins élevés sur le système subiraient moins d'impact que ceux qui possèdent des privilèges d'administrateur.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?  
Un attaquant pourrait héberger un site Web spécialement conçu pour exploiter cette vulnérabilité par l'intermédiaire d'un navigateur Internet et en incitant un utilisateur à consulter ce site Web. Sont également concernés les sites Web compromis et les sites Web acceptant ou hébergeant des contenus ou des publicités provenant d'utilisateurs. Ces sites Web pourraient contenir du code spécialement conçu capable d'exploiter cette vulnérabilité. Cependant, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Il devrait y attirer l'utilisateur, généralement en l'incitant à cliquer sur un lien dans un message électronique ou un message instantané qui mène à son site. Il pourrait également afficher un contenu Web spécialement conçu en imitant des panneaux publicitaires ou d'autres moyens afin d'envoyer du contenu Web aux systèmes affectés.

Quels sont les systèmes les plus exposés à cette vulnérabilité ?  
Les systèmes Windows XP sont les plus exposés à cette vulnérabilité. Les systèmes Windows Server 2003 sont également exposés, mais nous n'avons pas trouvé de méthode pour exploiter ce problème à distance sur Windows Server 2003.

Que fait cette mise à jour ?  
Cette mise à jour corrige cette vulnérabilité en modifiant la façon dont les données sont validées lorsqu'elles sont transmises au Centre d'aide et de support Windows.

Lors de la parution de ce Bulletin de sécurité, cette vulnérabilité avait-elle été dévoilée ?  
Oui. Cette vulnérabilité a été révélée publiquement. Elle a reçu le numéro « Common Vulnerability and Exposure » CVE-2010-1885. Cette vulnérabilité a d'abord été décrite dans l'Avis de sécurité Microsoft 2219475.

Lors de la parution de ce Bulletin de sécurité, Microsoft avait-il été informé d'une éventuelle exploitation de cette vulnérabilité ?  
Oui. Microsoft a connaissance d'attaques actives visant à exploiter cette vulnérabilité. À partir d'échantillons analysés, il a été conclu que les systèmes Windows Server 2003 ne sont pas actuellement exposés à ces attaques.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.

Remarque : Pour Windows XP Professionnel Édition x64, cette mise à jour de sécurité est identique à celle de Windows Server 2003 Édition x64.

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité concernant ce logiciel. Vous pouvez rechercher des informations supplémentaires dans la sous-section « Informations de déploiement » de cette section.