Bulletin de sécurité
Bulletin de sécurité Microsoft MS10-070 - Important
La vulnérabilité dans ASP.NET pourrait autoriser la divulgation d’informations (2418042)
Publication : 28 septembre 2010 | Mise à jour : 26 octobre 2011
Version : 4.2
Informations générales
Résumé
Cette mise à jour de sécurité résout une vulnérabilité divulguée publiquement dans ASP.NET. La vulnérabilité peut autoriser la divulgation d’informations. Un attaquant qui a réussi à exploiter cette vulnérabilité peut lire les données, telles que l’état d’affichage, qui a été chiffré par le serveur. Cette vulnérabilité peut également être utilisée pour la falsification des données, qui, si elle a réussi à exploiter, peut être utilisée pour déchiffrer et falsifier les données chiffrées par le serveur. Les versions de Microsoft .NET Framework antérieures à Microsoft .NET Framework 3.5 Service Pack 1 ne sont pas affectées par la partie de divulgation de contenu de fichier de cette vulnérabilité.
Cette mise à jour de sécurité est classée Importante pour toutes les éditions prises en charge de ASP.NET à l’exception de Microsoft .NET Framework 1.0 Service Pack 3. Pour plus d’informations, consultez la sous-section, Les logiciels affectés et non affectés, dans cette section.
La mise à jour de sécurité résout la vulnérabilité en signant également toutes les données chiffrées par ASP.NET. Pour plus d’informations sur la vulnérabilité, consultez la sous-section Questions fréquentes (FAQ) sur l’entrée de vulnérabilité spécifique dans la section suivante, Informations sur les vulnérabilités.
Cette mise à jour de sécurité traite également de la vulnérabilité décrite en premier dans microsoft Security Advisory 2416728.
Recommandation. Microsoft recommande aux clients d’appliquer la mise à jour au plus tôt.
Consultez également la section Outils de détection et de déploiement et conseils, plus loin dans ce bulletin.
Problèmes connus.L’article de la Base de connaissances Microsoft 2418042 documente les problèmes actuellement connus rencontrés par les clients lors de l’installation de cette mise à jour de sécurité. L’article documente également les solutions recommandées pour ces problèmes.
Logiciels affectés et non affectés
Les logiciels suivants ont été testés pour déterminer quelles versions ou éditions sont affectées. D’autres versions ou éditions dépassent leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie du support pour votre version ou édition logicielle, visitez Support Microsoft cycle de vie.
Logiciel affecté
Système d'exploitation | Composant | Impact maximal sur la sécurité | Évaluation de gravité agrégée | Bulletins remplacés par cette mise à jour |
---|---|---|---|---|
Windows XP | ||||
Windows XP Service Pack 3 | Microsoft .NET Framework 1.1 Service Pack 1 (Ko 2416447) | Divulgation d’informations | Important | MS10-041 |
Windows XP Service Pack 3 | Microsoft .NET Framework 2.0 Service Pack 2 et Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2418241) Microsoft .NET Framework 3.5 (Ko 2416468) Microsoft .NET Framework 3.5 (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416473) Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows XP Professional x64 Edition Service Pack 2 | Microsoft .NET Framework 1.1 Service Pack 1 (Ko 2416447) | Divulgation d’informations | Important | MS10-041 |
Windows XP Professional x64 Edition Service Pack 2 | Microsoft .NET Framework 2.0 Service Pack 2 et Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2418241) Microsoft .NET Framework 3.5 (Ko 2416468) Microsoft .NET Framework 3.5 (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416473) Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Server 2003 | ||||
Windows Server 2003 Service Pack 2 | Microsoft .NET Framework 1.1 Service Pack 1 (Ko 2416451) Microsoft .NET Framework 2.0 Service Pack 2 et Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2418241) Microsoft .NET Framework 3.5 (Ko 2416468) Microsoft .NET Framework 3.5 (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416473) Microsoft .NET Framework 4.0[ 1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Server 2003 x64 Edition Service Pack 2 | Microsoft .NET Framework 1.1 Service Pack 1 (Ko 2416447) | Divulgation d’informations | Important | MS10-041 |
Windows Server 2003 x64 Edition Service Pack 2 | Microsoft .NET Framework 2.0 Service Pack 2 et Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2418241) Microsoft .NET Framework 3.5 (Ko 2416468) Microsoft .NET Framework 3.5 (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416473) Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Server 2003 avec SP2 pour les systèmes Itanium | Microsoft .NET Framework 1.1 Service Pack 1 (Ko 2416447) | Divulgation d’informations | Important | MS10-041 |
Windows Server 2003 avec SP2 pour les systèmes Itanium | Microsoft .NET Framework 2.0 Service Pack 2 et Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2418241) Microsoft .NET Framework 3.5 (Ko 2416468) Microsoft .NET Framework 3.5 (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416473) Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Vista | ||||
Windows Vista Service Pack 1 | Microsoft .NET Framework 1.1 Service Pack 1 (Ko 2416447) Microsoft .NET Framework 3.5 (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416473) Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Vista Service Pack 1 | Microsoft .NET Framework 2.0 Service Pack 1 et Microsoft .NET Framework 3.5 (Ko 2416469) Microsoft .NET Framework 2.0 Service Pack 2 et Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416474) | Divulgation d’informations | Important | MS09-036 |
Windows Vista Service Pack 2 | Microsoft .NET Framework 1.1 Service Pack 1 (Ko 2416447) Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.5 et Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416470) Microsoft .NET Framework 3.5 (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416473) Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Vista x64 Edition Service Pack 1 | Microsoft .NET Framework 1.1 Service Pack 1 (Ko 2416447) Microsoft .NET Framework 3.5 (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416473) Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Vista x64 Edition Service Pack 1 | Microsoft .NET Framework 2.0 Service Pack 1 et Microsoft .NET Framework 3.5 (Ko 2416469) Microsoft .NET Framework 2.0 Service Pack 2 et Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416474) | Divulgation d’informations | Important | MS09-036 |
Windows Vista x64 Edition Service Pack 2 | Microsoft .NET Framework 1.1 Service Pack 1 (Ko 2416447) Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.5 et Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416470) Microsoft .NET Framework 3.5 (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416473) Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Server 2008 | ||||
Windows Server 2008 pour les systèmes 32 bits | Microsoft .NET Framework 1.1 Service Pack 1** (Ko 2416447) Microsoft .NET Framework 3.5** (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1** (Ko 2416473) Microsoft .NET Framework 4.0**[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Server 2008 pour les systèmes 32 bits | Microsoft .NET Framework 2.0 Service Pack 1 et Microsoft .NET Framework 3.5** (Ko 2416469) Microsoft .NET Framework 2.0 Service Pack 2 et Microsoft .NET Framework 3.5 Service Pack 1** (Ko 2416474) | Divulgation d’informations | Important | MS09-036 |
Windows Server 2008 pour systèmes 32 bits Service Pack 2 | Microsoft .NET Framework 1.1 Service Pack 1** (Ko 2416447) Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.5 et Microsoft .NET Framework 3.5 Service Pack 1** (Ko 2416470) Microsoft .NET Framework 3.5** (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1** (Ko 2416473) Microsoft .NET Framework 4.0**[1](Ko2416472) | Divulgation d’informations | Important | Aucun |
Windows Server 2008 pour les systèmes x64 | Microsoft .NET Framework 1.1 Service Pack 1** (Ko 2416447) Microsoft .NET Framework 3.5** (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1** (Ko 2416473) Microsoft .NET Framework 4.0**[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Server 2008 pour les systèmes x64 | Microsoft .NET Framework 2.0 Service Pack 1 et Microsoft .NET Framework 3.5** (Ko 2416469) Microsoft .NET Framework 2.0 Service Pack 2 et Microsoft .NET Framework 3.5 Service Pack 1** (Ko 2416474) | Divulgation d’informations | Important | MS09-036 |
Windows Server 2008 pour systèmes x64 Service Pack 2 | Microsoft .NET Framework 1.1 Service Pack 1** (Ko 2416447) Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.5 et Microsoft .NET Framework 3.5 Service Pack 1** (Ko 2416470) Microsoft .NET Framework 3.5** (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1** (Ko 2416473) Microsoft .NET Framework 4.0**[1](Ko2416472) | Divulgation d’informations | Important | Aucun |
Windows Server 2008 pour les systèmes Itanium | Microsoft .NET Framework 1.1 Service Pack 1 (Ko 2416447) Microsoft .NET Framework 3.5 (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416473) Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Server 2008 pour les systèmes Itanium | Microsoft .NET Framework 2.0 Service Pack 1 et Microsoft .NET Framework 3.5 (Ko 2416469) Microsoft .NET Framework 2.0 Service Pack 2 et Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416474) | Divulgation d’informations | Important | MS09-036 |
Windows Server 2008 pour les systèmes Itanium Service Pack 2 | Microsoft .NET Framework 1.1 Service Pack 1 (Ko 2416447) Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.5 et Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416470) Microsoft .NET Framework 3.5 (Ko 2418240) Microsoft .NET Framework 3.5 Service Pack 1 (Ko 2416473) Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows 7 | ||||
Windows 7 pour les systèmes 32 bits | Microsoft .NET Framework 3.5.1 (Ko 2416471) Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows 7 pour systèmes 32 bits Service Pack 1 | Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows 7 pour les systèmes x64 | Microsoft .NET Framework 3.5.1 (Ko 2416471) Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows 7 pour systèmes x64 Service Pack 1 | Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Server 2008 R2 | ||||
Windows Server 2008 R2 pour les systèmes x64 | Microsoft .NET Framework 3.5.1* (Ko 2416471) Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Server 2008 R2 pour systèmes x64 Service Pack 1 | Microsoft .NET Framework 4.0*[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Server 2008 R2 pour les systèmes Itanium | Microsoft .NET Framework 3.5.1 (Ko 2416471) Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
Windows Server 2008 R2 pour les systèmes Itanium Service Pack 1 | Microsoft .NET Framework 4.0[1](Ko 2416472) | Divulgation d’informations | Important | Aucun |
*Installation server Core affectée. Cette mise à jour s’applique, avec la même évaluation de gravité, aux éditions prises en charge de Windows Server 2008 R2, comme indiqué, si l’option d’installation server Core est installée ou non. Pour plus d’informations sur cette option d’installation, consultez les articles TechNet, Gestion de l’installation et de la maintenance d’une installation Server Core. Notez que l’option d’installation server Core ne s’applique pas à certaines éditions de Windows Server 2008 et Windows Server 2008 R2 ; consultez Comparer les options d’installation minimales.
**Installation minimale non affectée. Les vulnérabilités traitées par cette mise à jour n’affectent pas les éditions prises en charge de Windows Server 2008, comme indiqué, lors de l’installation à l’aide de l’option d’installation Server Core. Pour plus d’informations sur cette option d’installation, consultez les articles TechNet, Gestion de l’installation et de la maintenance d’une installation Server Core. Notez que l’option d’installation server Core ne s’applique pas à certaines éditions de Windows Server 2008 et Windows Server 2008 R2 ; consultez Comparer les options d’installation minimales.
[1]. Profil client NET Framework 4.0 non affecté. Les packages redistribuables .NET Framework version 4 sont disponibles dans deux profils : .NET Framework 4.0 et .NET Framework 4.0 Client Profile. Le profil client .NET Framework 4.0 est un sous-ensemble du .NET Framework 4.0. La vulnérabilité traitée dans cette mise à jour affecte uniquement le .NET Framework 4.0 et non le profil client .NET Framework 4.0. Pour plus d’informations, consultez : Installation du .NET Framework.
Logiciels non affectés
Système d'exploitation | Composant |
---|---|
Microsoft .NET Framework 1.0 Service Pack 3 | |
Windows XP Service Pack 3 | Microsoft .NET Framework 1.0 Service Pack 3 (Windows XP Media Center Edition 2005 et Windows XP Tablet PC Edition 2005 uniquement) |
Microsoft .NET Framework 3.5.1 | |
Windows 7 pour systèmes 32 bits Service Pack 1 | Microsoft .NET Framework 3.5.1 |
Windows 7 pour systèmes x64 Service Pack 1 | Microsoft .NET Framework 3.5.1 |
Windows Server 2008 R2 pour systèmes x64 Service Pack 1 | Microsoft .NET Framework 3.5.1 |
Windows Server 2008 R2 pour les systèmes Itanium Service Pack 1 | Microsoft .NET Framework 3.5.1 |
Questions fréquentes (FAQ) relatives à cette mise à jour de sécurité
Pourquoi ce bulletin a-t-il été révisé le 22 février 2011 ?
Microsoft a révisé ce bulletin de sécurité pour annoncer une modification de détection afin d’offrir les packages de mise à jour Microsoft .NET Framework 4.0 (Ko 2416472) aux systèmes exécutant Windows 7 pour systèmes 32 bits Service Pack 1, Windows 7 pour systèmes x64 Service Pack 1, Windows Server 2008 R2 pour systèmes x64 Service Pack 1 et Windows Server 2008 R2 pour itanium-based Systems Service Pack 1. Cette modification de détection s’applique uniquement aux clients qui installent Microsoft .NET Framework 4.0 après l’installation de Windows 7 pour systèmes 32 bits Service Pack 1, Windows 7 pour systèmes x64 Service Pack 1, Windows Server 2008 R2 pour systèmes x64 Service Pack 1 ou Windows Server 2008 R2 pour les systèmes Itanium Service Pack 1. Les clients qui ont déjà mis à jour leurs systèmes n’ont pas besoin d’agir.
Pourquoi ce bulletin a-t-il été révisé le 14 décembre 2010 ?
Microsoft a révisé ce bulletin de sécurité pour annoncer que les nouveaux packages de mise à jour sont disponibles pour Microsoft .NET Framework 4.0 (Ko 2416472). Ces nouveaux packages corrigent un problème dans l’installation qui peut interférer avec l’installation réussie d’autres mises à jour. Pour les clients qui peuvent avoir une installation d’un autre produit ou mise à jour qui a peut-être été affecté par ce problème, consultez l’article de la Base de connaissances Microsoft 2473228 pour plus d’informations. Les clients qui ont déjà mis à jour leurs systèmes n’ont pas besoin d’agir.
J’ai installé .NET Framework 3.0 Service Pack 2 ; cette version n’est pas répertoriée parmi les logiciels concernés dans ce bulletin. Dois-je installer une mise à jour ?
Ce bulletin décrit une vulnérabilité dans .NET Framework 2.0 et les couches de fonctionnalités .NET Framework 3.5. Les chaînes d’installation de .NET Framework 3.0 Service Pack 2 dans le programme d’installation de .NET Framework 2.0 Service Pack 2, de sorte que l’installation de l’ancien installe également ce dernier. Par conséquent, les clients qui ont installé .NET Framework 3.0 Service Pack 2 doivent installer les mises à jour de sécurité pour .NET Framework 2.0 Service Pack 2.
J’ai installé .NET Framework 3.5. Dois-je installer des mises à jour supplémentaires ?
Ce bulletin décrit une vulnérabilité dans .NET Framework 2.0 et les couches de fonctionnalités .NET Framework 3.5. Les chaînes d’installation de .NET Framework 3.5 dans la configuration de .NET Framework 2.0 Service Pack 1 et la configuration de .NET Framework 3.0 Service Pack 1. Par conséquent, les clients qui ont installé .NET Framework 3.5 doivent également installer les mises à jour de sécurité pour .NET Framework 2.0 Service Pack 1 en plus des mises à jour pour .NET Framework 3.5.
Pour déterminer s’il existe des versions supplémentaires du .NET Framework installé sur votre système, consultez l’entrée du FAQ « Comment faire déterminer la version de Microsoft .NET Framework installée », plus loin dans cette section.
J’ai installé .NET Framework 3.5 Service Pack 1. Dois-je installer des mises à jour supplémentaires ?
Ce bulletin décrit une vulnérabilité dans .NET Framework 2.0 et les couches de fonctionnalités .NET Framework 3.5. Les chaînes d’installation de .NET Framework 3.5 Service Pack 1 dans la configuration de .NET Framework 2.0 Service Pack 2 et la configuration de .NET Framework 3.0 Service Pack 2. Par conséquent, les clients qui ont installé .NET Framework 3.5 Service Pack 1 doivent également installer les mises à jour de sécurité pour .NET Framework 2.0 Service Pack 2.
Pour déterminer s’il existe des versions supplémentaires du .NET Framework installé sur votre système, consultez l’entrée du FAQ « Comment faire déterminer la version de Microsoft .NET Framework installée », plus loin dans cette section.
Pourquoi ce bulletin a-t-il été révisé le 30 septembre 2010 ?
Microsoft a révisé ce bulletin pour annoncer que les mises à jour sont désormais disponibles via tous les canaux de distribution, y compris Microsoft Update et Windows Update. En outre, les clarifications et corrections suivantes ont également été incluses dans cette révision :
- Corrections suivantes apportées à la table Logicielle affectée :
- La description du bulletin pour la mise à jour Ko 2418241 a été corrigée pour inclure .NET Framework 3.5 Service Pack 1 sur les systèmes Windows XP et Windows Server 2003. Ce n’était qu’un changement de bulletin. Les clients qui ont correctement installé la mise à jour Ko 2418241 n’ont pas besoin de réinstaller. Les clients exécutant .NET Framework 3.5 Service Pack 1 sur les systèmes Windows XP ou Windows Server 2003 qui n’ont pas installé la mise à jour Ko 2418241 doivent appliquer la mise à jour au plus tôt, même s’ils ont déjà appliqué la mise à jour Ko 2416473 pour .NET Framework 3.5 Service Pack 1. Les clients doivent appliquer toutes les mises à jour proposées pour le logiciel installé sur leurs systèmes.
- La description du bulletin pour la mise à jour Ko 2416474 a été corrigée pour inclure .NET Framework 3.5 Service Pack 1 sur les systèmes Windows Vista et Windows Server 2008. Ce n’était qu’un changement de bulletin. Les clients qui ont correctement installé la mise à jour Ko 2416474 n’ont pas besoin de réinstaller. Les clients exécutant .NET Framework 3.5 Service Pack 1 sur les systèmes Windows Vista ou Windows Server 2008 qui n’ont pas installé la mise à jour Ko 2416474 doivent appliquer la mise à jour au plus tôt, même s’ils ont déjà appliqué des Ko 2416473 de mise à jour pour .NET Framework 3.5 Service Pack 1. Les clients doivent appliquer toutes les mises à jour proposées pour le logiciel installé sur leurs systèmes.
- La description du bulletin pour la mise à jour Ko 2416470 a été corrigée pour inclure Microsoft .NET Framework 3.5 et Microsoft .NET Framework 3.5 Service Pack 1 sur les systèmes Windows Vista et Windows Server 2008. Ce n’était qu’un changement de bulletin. Les clients qui ont correctement installé la mise à jour Ko 2416470 n’ont pas besoin de réinstaller. Les clients exécutant .NET Framework 3.5 et Microsoft .NET Framework 3.5 Service Pack 1 sur les systèmes Windows Vista ou Windows Server 2008 qui n’ont pas installé la mise à jour Ko 2416470 doivent appliquer la mise à jour au plus tôt, même s’ils ont déjà appliqué la mise à jour Ko 2418240 pour .NET Framework 3.5 et mettre à jour Ko 2416473 pour .NET Framework 3.5 Service Pack 1. Les clients doivent appliquer toutes les mises à jour proposées pour le logiciel installé sur leurs systèmes.
- Les Ko 2418240 de mise à jour ont été répertoriées comme une mise à jour supplémentaire pour les systèmes .NET Framework 3.5 pour Windows XP, Windows Server 2003, Windows Vista Service Pack 1 et Windows Server 2008. Ce n’était qu’un changement de bulletin. Les clients qui ont correctement installé la mise à jour Ko 2418240 n’ont pas besoin de réinstaller. Les clients exécutant .NET Framework 3.5 sur Windows XP, Windows Server 2003, Windows Vista et les systèmes Windows Server 2008 qui n’ont pas installé la mise à jour Ko 2418240 doivent appliquer la mise à jour au plus tôt, même s’ils ont déjà appliqué une autre mise à jour pour .NET Framework 3.5. Les clients doivent appliquer toutes les mises à jour proposées pour le logiciel installé sur leurs systèmes.
- Ajout du FAQ « Comment faire déterminer la version de Microsoft .NET Framework installée ? » dans cette section.
- Ajout du FAQ : « Il existe deux mises à jour répertoriées pour la version de Microsoft .NET Framework installée sur mon système. Dois-je installer les deux mises à jour ? » dans cette section.
- Ajout du FAQ : « Dois-je installer ces mises à jour de sécurité dans une séquence particulière ? » dans cette section.
Comment faire déterminer la version de Microsoft .NET Framework installée ?
Vous pouvez installer et exécuter plusieurs versions du .NET Framework sur un système et installer les versions dans n’importe quel ordre. Il existe plusieurs façons de déterminer les versions du .NET Framework actuellement installées. Pour plus d’informations, consultez l’article de la Base de connaissances Microsoft 318785.
Il existe deux mises à jour répertoriées pour la version de Microsoft .NET Framework installée sur mon système. Dois-je installer les deux mises à jour ?
Oui. Les clients doivent appliquer toutes les mises à jour proposées pour le logiciel installé sur leurs systèmes.
Dois-je installer ces mises à jour de sécurité dans une séquence particulière ?
Non. Plusieurs mises à jour pour une version du .NET Framework peuvent être appliquées dans n’importe quelle séquence. Nous vous recommandons d’appliquer plusieurs mises à jour pour différentes versions du .NET Framework dans la séquence, du numéro de version le plus bas au plus élevé, mais cette séquence n’est pas nécessaire.
Où sont les détails des informations sur le fichier ?
Reportez-vous aux tables de référence de la section Déploiement des mises à jour de sécurité pour connaître l’emplacement des informations de fichier.
J’utilise une version plus ancienne du logiciel abordé dans ce bulletin de sécurité. Que dois-je faire ?
Les logiciels concernés répertoriés dans ce bulletin ont été testés pour déterminer quelles versions sont affectées. D’autres versions sont passées au-delà de leur cycle de vie de support. Pour plus d’informations sur le cycle de vie des produits, visitez le site web Support Microsoft cycle de vie.
Il doit s’agir d’une priorité pour les clients qui ont des versions antérieures du logiciel à migrer vers des versions prises en charge afin d’éviter toute exposition potentielle aux vulnérabilités. Pour déterminer le cycle de vie de prise en charge de votre version logicielle, consultez Sélectionner un produit pour les informations de cycle de vie. Pour plus d’informations sur les Service Packs pour ces versions logicielles, consultez Service Packs pris en charge par le cycle de vie.
Les clients qui ont besoin d’un support personnalisé pour les logiciels plus anciens doivent contacter leur représentant de l’équipe de compte Microsoft, leur responsable de compte technique ou le représentant partenaire Microsoft approprié pour les options de support personnalisé. Les clients sans contrat Alliance, Premier ou Autorisé peuvent contacter leur bureau de vente Microsoft local. Pour obtenir des informations de contact, visitez le site web Microsoft Worldwide Information , sélectionnez le pays dans la liste des informations de contact, puis cliquez sur Atteindre pour afficher la liste des numéros de téléphone. Lorsque vous appelez, demandez à parler avec le directeur commercial premier support local. Pour plus d’informations, consultez le FAQ Support Microsoft politique de cycle de vie.
Informations sur la vulnérabilité
Évaluations de gravité et identificateurs de vulnérabilité
Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin de septembre. Pour plus d’informations, consultez Microsoft Exploitability Index.
Logiciel affecté | ASP.NET Vulnérabilité Oracle padding - CVE-2010-3332 | Évaluation de gravité agrégée |
---|---|---|
Microsoft .NET Framework 1.1 Service Pack 1 | ||
Microsoft .NET Framework 1.1 Service Pack 1 quand il est installé sur Windows XP Service Pack 3 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 1.1 Service Pack 1 quand il est installé sur Windows XP Professional x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 1.1 Service Pack 1 sur Windows Server 2003 Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 1.1 Service Pack 1 installé sur Windows Server 2003 x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 1.1 Service Pack 1 installé sur Windows Server 2003 Itanium Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 1.1 Service Pack 1 quand il est installé sur Windows Vista Service Pack 1 et Windows Vista Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 1.1 Service Pack 1 lorsqu’il est installé sur Windows Vista x64 Edition Service Pack 1 et Windows Vista x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 1.1 Service Pack 1 lorsqu’il est installé sur Windows Server 2008 pour les systèmes 32 bits et Windows Server 2008 pour systèmes 32 bits Service Pack 2** | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 1.1 Service Pack 1 lorsqu’il est installé sur Windows Server 2008 pour les systèmes x64 et Windows Server 2008 pour systèmes x64 Service Pack 2** | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 1.1 Service Pack 1 installé sur Windows Server 2008 pour les systèmes Itanium et Windows Server 2008 pour les systèmes Itanium Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 1 | ||
Microsoft .NET Framework 2.0 Service Pack 1 sur Windows Vista Service Pack 1 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 1 sur Windows Vista x64 Edition Service Pack 1 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 1 sur Windows Server 2008 pour les systèmes 32 bits** | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 1 sur Windows Server 2008 pour systèmes x64** | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 1 sur Windows Server 2008 pour les systèmes Itanium | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 2 | ||
Microsoft .NET Framework 2.0 Service Pack 2 quand il est installé sur Windows XP Service Pack 3 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 2 quand il est installé sur Windows XP Professional x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 2 quand il est installé sur Windows Server 2003 Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 2 quand il est installé sur Windows Server 2003 x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 2 lorsqu’il est installé sur Windows Server 2003 avec SP2 pour les systèmes itanium | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 2 sur Windows Vista Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 2 sur Windows Vista x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 2 sur Windows Server 2008 pour systèmes 32 bits Service Pack 2** | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 2 sur Windows Server 2008 pour systèmes x64 Service Pack 2** | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 2.0 Service Pack 2 sur Windows Server 2008 pour les systèmes Itanium Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 | ||
Microsoft .NET Framework 3.5 quand il est installé sur Windows XP Service Pack 3 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 quand il est installé sur Windows XP Professional x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 quand il est installé sur Windows Server 2003 Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 quand il est installé sur Windows Server 2003 x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 lorsqu’il est installé sur Windows Server 2003 avec SP2 pour les systèmes Itanium | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 quand il est installé sur Windows Vista Service Pack 1 et Windows Vista Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 quand il est installé sur Windows Vista x64 Edition Service Pack 1 et Windows Vista x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 quand il est installé sur Windows Server 2008 pour les systèmes 32 bits** | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 lorsqu’il est installé sur Windows Server 2008 pour les systèmes x64** | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 lorsqu’il est installé sur Windows Server 2008 pour les systèmes itanium | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 Service Pack 1 | ||
Microsoft .NET Framework 3.5 Service Pack 1 quand il est installé sur Windows XP Service Pack 3 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 Service Pack 1 lorsqu’il est installé sur Windows XP Professional x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 Service Pack 1 installé sur Windows Server 2003 Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 Service Pack 1 installé sur Windows Server 2003 x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 Service Pack 1 installé sur Windows Server 2003 avec SP2 pour les systèmes Itanium | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 Service Pack 1 lorsqu’il est installé sur Windows Vista Service Pack 1 et Windows Vista Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 Service Pack 1 installé sur Windows Vista x64 Edition Service Pack 1 et Windows Vista x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 Service Pack 1 installé sur Windows Server 2008 pour les systèmes 32 bits et Windows Server 2008 pour systèmes 32 bits Service Pack 2** | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 Service Pack 1 lorsqu’il est installé sur Windows Server 2008 pour les systèmes x64 et Windows Server 2008 pour systèmes x64 Service Pack 2** | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5 Service Pack 1 installé sur Windows Server 2008 pour les systèmes Itanium et Windows Server 2008 pour les systèmes Itanium Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5.1 | ||
Microsoft .NET Framework 3.5.1 sur Windows 7 pour systèmes 32 bits | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5.1 sur Windows 7 pour systèmes x64 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5.1 sur Windows Server 2008 R2 pour systèmes x64* | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 3.5.1 sur Windows Server 2008 R2 pour les systèmes Itanium | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 | ||
Microsoft .NET Framework 4.0 sur Windows XP Service Pack 3 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 sur Windows XP Professional x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 sur Windows Server 2003 Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 sur Windows Server 2003 x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 sur Windows Server 2003 avec SP2 pour les systèmes Itanium | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 sur Windows Vista Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 sur Windows Vista x64 Edition Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 sur Windows Server 2008 pour systèmes 32 bits Service Pack 2** | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 sur Windows Server 2008 pour systèmes x64 Service Pack 2** | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 sur Windows Server 2008 pour les systèmes Itanium Service Pack 2 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 sur Windows 7 pour les systèmes 32 bits et Windows 7 pour systèmes 32 bits Service Pack 1 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 sur Windows 7 pour systèmes x64 et Windows 7 pour systèmes x64 Service Pack 1 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 sur Windows Server 2008 R2 pour les systèmes x64 | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 sur Windows Server 2008 R2 pour systèmes x64 Service Pack 1* | Divulgation d’informations importantes | Important |
Microsoft .NET Framework 4.0 sur Windows Server 2008 R2 pour les systèmes Itanium et Windows Server 2008 R2 pour les systèmes Itanium Service Pack 1 | Divulgation d’informations importantes | Important |
*Installation server Core affectée. Cette mise à jour s’applique, avec la même évaluation de gravité, aux éditions prises en charge de Windows Server 2008 ou Windows Server 2008 R2, comme indiqué, si l’option d’installation server Core est installée ou non. Pour plus d’informations sur cette option d’installation, consultez les articles TechNet, Gestion de l’installation et de la maintenance d’une installation Server Core. Notez que l’option d’installation server Core ne s’applique pas à certaines éditions de Windows Server 2008 et Windows Server 2008 R2 ; consultez Comparer les options d’installation minimales.
**Installation minimale non affectée. Les vulnérabilités traitées par cette mise à jour n’affectent pas les éditions prises en charge de Windows Server 2008 ou Windows Server 2008 R2, comme indiqué, lorsqu’elles sont installées à l’aide de l’option d’installation Server Core. Pour plus d’informations sur cette option d’installation, consultez les articles TechNet, Gestion de l’installation et de la maintenance d’une installation Server Core. Notez que l’option d’installation server Core ne s’applique pas à certaines éditions de Windows Server 2008 et Windows Server 2008 R2 ; consultez Comparer les options d’installation minimales.
ASP.NET Vulnérabilité Oracle padding - CVE-2010-3332
Une vulnérabilité de divulgation d’informations existe dans ASP.NET en raison d’une gestion incorrecte des erreurs lors de la vérification du remplissage du chiffrement. Un attaquant qui a réussi à exploiter cette vulnérabilité peut lire les données, telles que l’état d’affichage, qui a été chiffré par le serveur. Cette vulnérabilité peut également être utilisée pour la falsification des données, qui, si elle a réussi à exploiter, peut être utilisée pour déchiffrer et falsifier les données chiffrées par le serveur. Notez que cette vulnérabilité ne permettrait pas à un attaquant d’exécuter du code ou d’élever directement ses droits d’utilisateur, mais qu’elle pourrait être utilisée pour produire des informations qui pourraient être utilisées pour tenter de compromettre davantage le système concerné. Dans Microsoft .NET Framework 3.5 Service Pack 1 et versions ultérieures, cette vulnérabilité peut également être utilisée par un attaquant pour récupérer le contenu d’un fichier dans l’application ASP.NET, y compris web.config.
Pour afficher cette vulnérabilité comme entrée standard dans la liste Des vulnérabilités et des expositions courantes, consultez CVE-2010-3332.
Atténuation des facteurs de ASP.NET vulnérabilité Oracle padding - CVE-2010-3332
L’atténuation fait référence à un paramètre, à une configuration courante ou à une meilleure pratique générale, existant dans un état par défaut, qui peut réduire la gravité de l’exploitation d’une vulnérabilité. Les facteurs d’atténuation suivants peuvent être utiles dans votre situation :
- Les versions de Microsoft .NET Framework antérieures à Microsoft .NET Framework 3.5 Service Pack 1 ne sont pas affectées par la partie de divulgation de contenu de fichier de cette vulnérabilité.
Solutions de contournement pour ASP.NET vulnérabilité Oracle de remplissage - CVE-2010-3332
La solution de contournement fait référence à un paramètre ou à une modification de configuration qui ne corrige pas la vulnérabilité sous-jacente, mais qui permet de bloquer les vecteurs d’attaque connus avant d’appliquer la mise à jour. Microsoft a testé les solutions de contournement et les états suivants dans la discussion si une solution de contournement réduit les fonctionnalités :
Activer une règle de filtrage d’URLScan ou de requête, activer ASP.NET erreurs personnalisées et mapper tous les codes d’erreur à la même page d’erreur
L’activation de la fonctionnalité customErrors de ASP.NET et la configuration explicite d’applications pour retourner toujours la même page d’erreur, quelle que soit l’erreur rencontrée sur le serveur, peut rendre plus difficile pour un attaquant qui utilise l’exploit actuel pour distinguer les différents types d’erreurs qui se produisent sur un serveur.
Sur les systèmes utilisant .NET Framework version 3.5 Service Pack 1 et versions ultérieures, la solution de contournement offre une protection supplémentaire en aidant également à vous protéger contre la partie d’attaque de minutage de l’exploit actuel. La solution de contournement utilise l’option redirectMode="ResponseRewrite » dans la fonctionnalité customErrors et introduit un délai aléatoire dans la page d’erreur. Ces approches fonctionnent ensemble pour rendre plus difficile pour un attaquant de déduire le type d’erreur qui s’est produite sur le serveur en mesurant le temps nécessaire à la réception de l’erreur.
En outre, cette solution de contournement nécessite des requêtes bloquantes qui spécifient le chemin d’accès d’erreur de l’application sur la chaîne de requête. Cette opération peut être effectuée à l’aide d’URLScan, un outil gratuit pour Internet Information Services (IIS) qui peut bloquer sélectivement les requêtes en fonction des règles définies par l’administrateur. Si votre système exécute Internet Information Services (IIS) sur Windows Vista Service Pack 2, Windows Server 2008 Service Pack 2, Windows 7 ou Windows Server 2008 R2, vous pouvez également utiliser la fonctionnalité de filtrage des demandes.
Bloquer les requêtes qui modifient ASP.Net chemin d’erreur de l’application sur la chaîne de requête
Utilisation d’UrlScan :
Téléchargez et installez UrlScan 3.1. Pour obtenir des instructions supplémentaires sur la configuration et l’utilisation d’UrlScan, consultez la référence UrlScan 3.
Modifiez UrlScan.ini (trouvé dans %windir%\system32\inetsrv\urlscan). Insérez la ligne suivante sous la section [DenyQueryStringSequences] du fichier Urlscan.ini :
aspxerrorpath=
Une fois cette opération terminée, la section [DenyQueryStringSequences] doit ressembler à ceci (d’autres lignes de la section sont correctes et n’affectent pas la solution de contournement) :
[DenyQueryStringSequences] aspxerrorpath=
- Exécutez iisreset à partir d’une invite de commandes lors de la connexion en tant qu’administrateur.
Utilisation du filtrage des requêtes IIS :
Ces instructions sont une alternative pour les instructions UrlScan ci-dessus pour les systèmes exécutant IIS sur Windows Vista Service Pack 2, Windows Server 2008 Service Pack 2, Windows 7 ou Windows Server 2008 R2.
Installez la fonctionnalité de filtrage des demandes dans IIS via Add/Remove Programs ou Role Manager en sélectionnant la fonctionnalité sous Internet Information Services, World Wide Web Services, Security.
Lancez le Gestionnaire des services Internet (IIS).
Sélectionnez le nœud serveur dans le volet gauche.
Double-cliquez sur Filtrage des demandes.
Sélectionnez l’onglet Chaînes de requête, puis cliquez sur Refuser la chaîne de requête ... dans le volet Actions.
Entrez aspxerrorpath= dans la boîte de dialogue, puis sélectionnez OK.
Vous pouvez également utiliser la commande appcmd suivante pour définir cette chaîne de requête :
appcmd set config /section:requestfiltering /+denyQueryStringSequences.[sequence='aspxerrorpath=']
Pour plus d’informations sur l’utilisation d’appcmd pour configurer IIS, consultez Prise en main de AppCmd.exe.
Configurer ASP.Net applications pour utiliser des erreurs personnalisées uniformes
Dans le dossier racine de chaque application web ASP.NET, déterminez si vous avez déjà un fichier web.config dans ce dossier. Vous devez disposer des droits nécessaires pour créer un fichier dans le répertoire cible pour implémenter cette solution de contournement.
Si l’application ASP.NET n’a pas de fichier web.config :
Sur .NET Framework 3.5 et versions antérieures
- Créez un fichier texte nommé web.config dans le dossier racine de l’application ASP.NET, puis insérez le contenu suivant :
<configuration>
2. Create a text file named **error.html** containing a generic error message and save it in the root folder of the ASP.NET application.
3. Alternatively, you can rename error.html in the **web.config** file to point to an existing error page, but that page must display generic content, not context-specific content.
**On .NET Framework 3.5 Service Pack 1 and later**
1. Create a text file named **web.config** in the root folder of the ASP.NET application, and insert the following contents:
```
<configuration>
```
2. If you are comfortable using C\#, we recommend using the following **ErrorPage.aspx** file:
```
<%@ Page Language="C#" AutoEventWireup="true" %>
<%@ Import Namespace="System.Security.Cryptography" %>
<%@ Import Namespace="System.Threading" %>
```
```
<script runat="server">
void Page_Load() {
byte[] delay = new byte[1];
RandomNumberGenerator prng = new RNGCryptoServiceProvider();
prng.GetBytes(delay);
Thread.Sleep((int)delay[0]);
IDisposable disposable = prng as IDisposable;
if (disposable != null) { disposable.Dispose(); }
}
</script>
```
```
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "https://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
```
```
<html xmlns="https://www.w3.org/1999/xhtml">