Bulletin de sécurité

Bulletin de sécurité Microsoft MS13-026 - Important

Une vulnérabilité dans Microsoft Office pour Mac pourrait autoriser la divulgation d’informations (2813682)

Publication : 12 mars 2013 | Mise à jour : 15 mars 2013

Version : 1.1

Informations générales

Résumé

Cette mise à jour de sécurité résout une vulnérabilité signalée en privé dans Microsoft Office pour Mac. La vulnérabilité peut autoriser la divulgation d’informations si un utilisateur ouvre un message électronique spécialement conçu.

Cette mise à jour de sécurité est notée Important pour Microsoft Bureau 2008 pour Mac et Microsoft Office pour Mac 2011. Pour plus d’informations, consultez la sous-section, Les logiciels affectés et non affectés, dans cette section.

La mise à jour de sécurité résout la vulnérabilité en aidant à s’assurer que Microsoft Office pour Mac ne télécharge pas de contenu à partir de sources externes sans consentement de l’utilisateur. Pour plus d’informations sur la vulnérabilité, consultez la sous-section Questions fréquentes (FAQ) sur l’entrée de vulnérabilité spécifique dans la section suivante, Informations sur les vulnérabilités.

Recommandation. Microsoft recommande aux clients d’appliquer la mise à jour au plus tôt.

Consultez également la section Outils de détection et de déploiement et conseils, plus loin dans ce bulletin.

Article de la base de connaissances

Article de la base de connaissances 2813682
informations relatives aux fichiers Aucun
Hachages SHA1/SHA2 Oui
Problèmes connus Aucun

Logiciels affectés et non affectés

Les logiciels suivants ont été testés pour déterminer quelles versions ou éditions sont affectées. D’autres versions ou éditions dépassent leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

Logiciel affecté

Logiciel Impact maximal sur la sécurité Évaluation de gravité agrégée Mises à jour remplacé
Microsoft Office pour Mac
Microsoft Bureau 2008 pour Mac (2817449) Divulgation d’informations Important 2764048 dans MS12-076
Microsoft Office pour Mac 2011 (2817452) Divulgation d’informations Important 2764047 dans MS12-076

Faq sur la mise à jour

J’utilise une version plus ancienne du logiciel abordé dans ce bulletin de sécurité. Que dois-je faire ?
Les logiciels concernés répertoriés dans ce bulletin ont été testés pour déterminer quelles versions sont affectées. D’autres versions sont passées au-delà de leur cycle de vie de support. Pour plus d’informations sur le cycle de vie des produits, consultez le site web Support Microsoft cycle de vie.

Il doit s’agir d’une priorité pour les clients qui ont des versions antérieures du logiciel à migrer vers des versions prises en charge afin d’éviter toute exposition potentielle aux vulnérabilités. Pour déterminer le cycle de vie de prise en charge de votre version logicielle, consultez Sélectionner un produit pour les informations de cycle de vie. Pour plus d’informations sur les Service Packs pour ces versions logicielles, consultez La politique de support du cycle de vie service Pack.

Les clients qui ont besoin d’un support personnalisé pour les logiciels plus anciens doivent contacter leur représentant de l’équipe de compte Microsoft, leur responsable de compte technique ou le représentant partenaire Microsoft approprié pour les options de support personnalisé. Les clients sans contrat Alliance, Premier ou Autorisé peuvent contacter leur bureau de vente Microsoft local. Pour obtenir des informations de contact, consultez le site web Microsoft Worldwide Information , sélectionnez le pays dans la liste des informations de contact, puis cliquez sur Atteindre pour afficher la liste des numéros de téléphone. Lorsque vous appelez, demandez à parler avec le directeur commercial premier support local. Pour plus d’informations, consultez le FAQ Support Microsoft politique de cycle de vie.

Informations sur la vulnérabilité

Évaluations de gravité et identificateurs de vulnérabilité

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin de mars. Pour plus d’informations, consultez Microsoft Exploitability Index.

Logiciel affecté Vulnérabilité de chargement de contenu involontaire - CVE- 2013-0095 Évaluation de gravité agrégée
Microsoft Office pour Mac
Microsoft Office 2008 pour Mac Divulgation d’informations importantes Important
Microsoft Office pour Mac 2011 Divulgation d’informations importantes Important

Vulnérabilité de chargement de contenu involontaire - CVE- 2013-0095

Une vulnérabilité de divulgation d’informations existe de la façon dont Microsoft Entourage pour Mac et Microsoft Outlook pour Mac charger des balises de contenu spécifiques dans un e-mail HTML5.

Pour afficher cette vulnérabilité comme entrée standard dans la liste Des vulnérabilités et des expositions courantes, consultez CVE-2013-0095.

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour cette vulnérabilité.

FAQ

Quelle est l’étendue de la vulnérabilité ?
Il s’agit d’une vulnérabilité de divulgation d’informations.

Quelles sont les causes de la vulnérabilité ?
La vulnérabilité est due au fait qu’un utilisateur affiche ou ouvre un message électronique HTML spécialement conçu et Microsoft Outlook pour Mac ou Microsoft Entourage pour Mac permet de charger du contenu à partir d’un serveur distant sans intervention de l’utilisateur.

Qu’est-ce qu’un attaquant peut utiliser la vulnérabilité pour faire ?
Un attaquant peut identifier qu’un message électronique spécialement conçu a été rendu dans une visionneuse de courrier HTML. Cela peut permettre à l’attaquant de confirmer que le compte de messagerie ciblé est valide et que l’e-mail spécialement conçu a été lu.

Comment un attaquant pourrait-il exploiter la vulnérabilité ?
Pour exploiter la vulnérabilité, un attaquant peut envoyer à un utilisateur un message électronique HTML spécialement conçu qui contient des balises de contenu HTML5. La vulnérabilité peut être exploitée lorsque l’utilisateur affiche ou ouvre le message électronique.

Quels systèmes sont principalement exposés à la vulnérabilité ?
Les systèmes qui exécutent une version affectée de Microsoft Outlook pour Mac ou Microsoft Entourage pour Mac, et qui ont un navigateur WebKit installé, sont principalement à risque.

Qu’est-ce que WebKit ?
WebKit est un moteur de disposition code source ouvert utilisé par d’autres navigateurs, tels qu’Apple Safari, pour afficher des pages web.

Que fait la mise à jour ?
La mise à jour résout la vulnérabilité en aidant à garantir que Microsoft Outlook pour Mac et Microsoft Entourage pour Mac ne téléchargent pas de contenu à partir de sources externes sans consentement de l’utilisateur.

Quand ce bulletin de sécurité a été émis, cette vulnérabilité a-t-elle été divulguée publiquement ?
Non. Microsoft a reçu des informations sur cette vulnérabilité par le biais d’une divulgation coordonnée des vulnérabilités.

Quand ce bulletin de sécurité a été émis, Microsoft a-t-il reçu des rapports indiquant que cette vulnérabilité était exploitée ?
Non. Microsoft n’avait reçu aucune information pour indiquer que cette vulnérabilité avait été utilisée publiquement pour attaquer les clients lorsque ce bulletin de sécurité a été émis à l’origine.

Mettre à jour les informations

Outils et conseils de détection et de déploiement

Pour les clients de Microsoft Office pour Mac, Microsoft AutoUpdate pour Mac peut vous aider à maintenir vos logiciels Microsoft à jour. Pour plus d’informations sur l’utilisation de Microsoft AutoUpdate pour Mac, consultez Rechercher automatiquement les mises à jour logicielles

Déploiement des mises à jour de sécurité

Logiciel affecté

Pour plus d’informations sur la mise à jour de sécurité spécifique pour votre logiciel concerné, cliquez sur le lien approprié :

Bureau 2008 pour Mac

Conditions préalables

  • Mac OS X version 10.4.9 ou ultérieure sur un processeur Intel, PowerPC G5 ou PowerPC G4 (500 MHz ou plus rapide)
  • Les comptes d’utilisateur Mac OS X doivent disposer de privilèges d’administrateur pour installer cette mise à jour de sécurité

Installation de la mise à jour

Téléchargez et installez la version linguistique appropriée de Microsoft Bureau 2008 pour Mac 12.3.6 Update à partir du Centre de téléchargement Microsoft.

  1. Quittez toutes les applications en cours d’exécution, y compris les applications de protection antivirus, toutes les application Office lications Microsoft, Microsoft Messenger pour Mac et les notifications Bureau, car elles peuvent interférer avec l’installation.
  2. Ouvrez le volume de mise à jour Microsoft Bureau 2008 pour Mac12.3.6sur votre bureau. Cette étape peut avoir été effectuée pour vous.
  3. Pour démarrer le processus de mise à jour, dans la fenêtre de volume de mise à jour Microsoft Bureau 2008 pour Mac12.3.6, double-cliquez sur l’application Microsoft Bureau 2008 pour Mac 12.3.6 Update, puis suivez les instructions à l’écran.
  4. Si l’installation se termine correctement, vous pouvez supprimer le programme d’installation de mise à jour de votre disque dur. Pour vérifier que l’installation s’est terminée correctement, consultez le titre « Vérification de l’installation de la mise à jour ». Pour supprimer le programme d’installation de mise à jour, faites d’abord glisser le volume de mise à jour Microsoft Bureau 2008 pour Mac12.3.6vers la Corbeille, puis faites glisser le fichier que vous avez téléchargé vers la Corbeille.

Vérification de l’installation de la mise à jour

Pour vérifier qu’une mise à jour de sécurité est installée sur un système concerné, procédez comme suit :

  1. Dans le Finder, accédez au dossier d’application (Microsoft Bureau 2008 : Bureau).
  2. Sélectionnez le fichier, plug-in de composant Microsoft.
  3. Dans le menu Fichier, cliquez sur Obtenir des informations ou Afficher les informations.

Si le numéro de version est 12.3.6, la mise à jour a été correctement installée.

Configuration requise pour le redémarrage

Cette mise à jour ne vous oblige pas à redémarrer votre ordinateur.

Suppression de la mise à jour

Cette mise à jour de sécurité ne peut pas être désinstallée.

Informations supplémentaires

Si vous avez des questions techniques ou des problèmes lors du téléchargement ou de l’utilisation de cette mise à jour, consultez le support Microsoft pour Mac pour en savoir plus sur les options de support disponibles.

Office pour Mac 2011

Conditions préalables

  • Mac OS X version 10.5.8 ou ultérieure sur un processeur Intel
  • Les comptes d’utilisateur Mac OS X doivent disposer de privilèges d’administrateur pour installer cette mise à jour de sécurité

Installation de la mise à jour

Téléchargez et installez la version linguistique appropriée de la mise à jour Microsoft Office pour Mac 2011 14.3.2 à partir du Centre de téléchargement Microsoft.

  1. Quittez toutes les applications en cours d’exécution, y compris les applications de protection antivirus et toutes les application Office lications Microsoft, car elles peuvent interférer avec l’installation.
  2. Ouvrez le volume de mise à jour Microsoft Office pour Mac 2011 14.3.2sur votre bureau. Cette étape peut avoir été effectuée pour vous.
  3. Pour démarrer le processus de mise à jour, dans la fenêtre de volume de mise à jour Microsoft Office pour Mac 2011 14.3.2, double-cliquez sur l’application de mise à jour Microsoft Office pour Mac 2011 14.3.2, puis suivez les instructions à l’écran.
  4. Une fois l’installation terminée, vous pouvez supprimer le programme d’installation de mise à jour de votre disque dur. Pour vérifier que l’installation s’est terminée correctement, consultez le titre « Vérification de l’installation de la mise à jour ». Pour supprimer le programme d’installation de mise à jour, faites d’abord glisser le volume Microsoft Office pour Mac 2011 14.3.2Update vers la Corbeille, puis faites glisser le fichier que vous avez téléchargé vers la corbeille.

Vérification de l’installation de la mise à jour

Pour vérifier qu’une mise à jour de sécurité est installée sur un système concerné, procédez comme suit :

  1. Dans le Finder, accédez au dossier d’application (Microsoft Bureau 2011).
  2. Sélectionnez Word, Excel, PowerPoint ou Outlook et lancez l’application.
  3. Dans le menu Application, cliquez sur AboutApplication_Name (où Application_Name est Word, Excel, PowerPoint ou Outlook).

Si le numéro de version de la dernière mise à jour installée est 14.3.2, la mise à jour a été correctement installée.

Configuration requise pour le redémarrage

Cette mise à jour ne vous oblige pas à redémarrer votre ordinateur.

Suppression de la mise à jour

Cette mise à jour de sécurité ne peut pas être désinstallée.

Informations supplémentaires

Si vous avez des questions techniques ou des problèmes lors du téléchargement ou de l’utilisation de cette mise à jour, consultez le support Microsoft pour Mac pour en savoir plus sur les options de support disponibles.

Autres informations

Remerciements

Microsoft remercie ce qui suit pour nous aider à protéger les clients :

  • Nick Semenkovich pour signaler la vulnérabilité de chargement de contenu involontaire (CVE- 2013-0095)

Programme Microsoft Active Protections (MAPP)

Pour améliorer les protections de sécurité pour les clients, Microsoft fournit des informations sur les vulnérabilités aux principaux fournisseurs de logiciels de sécurité avant chaque version mensuelle de la mise à jour de sécurité. Les fournisseurs de logiciels de sécurité peuvent ensuite utiliser ces informations de vulnérabilité pour fournir des protections mises à jour aux clients via leurs logiciels ou appareils de sécurité, tels que les systèmes antivirus, les systèmes de détection d’intrusion basés sur le réseau ou les systèmes de prévention des intrusions basés sur l’hôte. Pour déterminer si les protections actives sont disponibles auprès des fournisseurs de logiciels de sécurité, accédez aux sites web de protection actifs fournis par les partenaires du programme, répertoriés dans les partenaires microsoft Active Protections Program (MAPP).

Support

Comment obtenir de l’aide et de la prise en charge de cette mise à jour de sécurité

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

  • V1.0 (12 mars 2013) : Bulletin publié.
  • V1.1 (15 mars 2013) : Correction du titre du bulletin et clarification des noms de versions affectés dans les détails de la vulnérabilité et les FAQ sur les vulnérabilités.

Construit à 2014-04-18T13 :49 :36Z-07 :00