Bulletin de sécurité Microsoft MS15-030 - Important

La vulnérabilité dans le protocole Bureau à distance peut autoriser le déni de service (3039976)

Publication : 10 mars 2015

Version : 1.0

Résumé

Cette mise à jour de sécurité résout une vulnérabilité dans Microsoft Windows. La vulnérabilité peut autoriser le déni de service si un attaquant crée plusieurs sessions RDP (Remote Desktop Protocol) qui ne parviennent pas à libérer correctement des objets en mémoire. Par défaut, RDP n’est activé sur aucun système d’exploitation Windows. Les systèmes qui n’ont pas rdp activé ne sont pas à risque.

Cette mise à jour de sécurité est évaluée comme importante pour toutes les éditions prises en charge de Windows 7, Windows 8, Windows Server 2012, Windows 8.1 et Windows Server 2012 R2. Pour plus d’informations, consultez la section Logiciels affectés.

La mise à jour de sécurité résout la vulnérabilité en corrigeant la façon dont RDP gère les objets en mémoire. Pour plus d’informations sur la vulnérabilité, consultez la section Informations sur les vulnérabilités.

Pour plus d’informations sur cette mise à jour, consultez l’article 3039976 de la Base de connaissances Microsoft.

Logiciel affecté

Les versions ou éditions logicielles suivantes sont affectées. Les versions ou éditions qui ne sont pas répertoriées sont passées par leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

Logiciel affecté 

^[1]Les éditions Entreprise et Ultimate de Windows 7 sont affectées. Toutes les éditions prises en charge de Windows 7 sont affectées si RDP 8.0 est installé sur le système. Pour plus d’informations, consultez le FORUM aux questions sur la mise à jour.

Faq sur la mise à jour

Quelles éditions de Windows 7 sont affectées ?
Les éditions Entreprise et Ultimate de Windows 7 sont affectées. Toutes les éditions prises en charge de Windows 7 sont affectées si RDP 8.0 est installé sur le système. Pour les clients exécutant RDP 8.0 sur des systèmes locaux qui n’ont pas besoin des nouvelles fonctionnalités côté serveur fournies dans RDP 8.0, Microsoft recommande la mise à niveau vers RDP 8.1 et ne pas appliquer (ou supprimer) la mise à jour 3035017.

Évaluations de gravité et identificateurs de vulnérabilité

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin de mars.

Informations sur la vulnérabilité

Vulnérabilité de déni de service rdp (Remote Desktop Protocol) - CVE-2015-0079

Une vulnérabilité par déni de service existe dans le protocole RDP (Remote Desktop Protocol) lorsqu’un attaquant crée plusieurs sessions RDP qui ne parviennent pas à libérer correctement des objets en mémoire. Notez que le déni de service n’autorise pas un attaquant à exécuter du code ou à élever ses droits utilisateur. Toutefois, il peut empêcher les utilisateurs légitimes de se connecter via le Bureau à distance. Un attaquant non authentifié peut utiliser cette vulnérabilité pour épuiser la mémoire système en créant plusieurs sessions RDP. Un attaquant qui a réussi à exploiter la vulnérabilité peut entraîner l’arrêt de la réponse du système cible. La mise à jour résout la vulnérabilité en corrigeant la façon dont RDP gère les objets en mémoire.

Microsoft a reçu des informations sur cette vulnérabilité par le biais d’une divulgation coordonnée des vulnérabilités. Lorsque ce bulletin de sécurité a été émis, Microsoft n’avait reçu aucune information pour indiquer que cette vulnérabilité avait été utilisée publiquement pour attaquer les clients.

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Les solutions de contournement suivantes peuvent être utiles dans votre situation :

Désactiver RDP

• Pour désactiver RDP à l’aide d’une stratégie de groupe

• Ouvrir une stratégie de groupe

• Dans Configuration ordinateur, Administration istrative Templates, Windows Components, Terminal Services, double-cliquez sur l’option Autoriser les utilisateurs à se connecter à distance à l’aide du paramètre Terminal Services.

• Effectuez l’une des opérations suivantes :

  • Pour activer le Bureau à distance, cliquez sur Activé.

  • Pour désactiver le Bureau à distance, cliquez sur Désactivé.

    Si vous désactivez le Bureau à distance pendant que les utilisateurs sont connectés aux ordinateurs cibles, les ordinateurs conservent leurs connexions actuelles, mais n’acceptent aucune nouvelle connexion entrante.

  Important lorsque vous activez le Bureau à distance sur un ordinateur, vous activez la fonctionnalité pour que d’autres utilisateurs et groupes se connectent à distance à l’ordinateur. Toutefois, vous devez également décider quels utilisateurs et groupes doivent être en mesure de se connecter à distance, puis les ajouter manuellement au groupe Utilisateurs bureau à distance. Pour plus d’informations, consultez Permettre aux utilisateurs de se connecter à distance au serveur et d’ajouter des utilisateurs au groupe Utilisateurs Bureau à distance.

  Vous devez tester soigneusement les modifications que vous apportez aux paramètres de stratégie de groupe avant de les appliquer aux utilisateurs ou aux ordinateurs. Pour plus d’informations sur les paramètres de stratégie de test, consultez Jeu de stratégie résultant.

  Remarque :

  • Pour effectuer cette procédure, vous devez être membre du groupe Administrateurs sur l'ordinateur local, ou l'autorité appropriée doit vous avoir été déléguée. Si l'ordinateur est joint à un domaine, les membres du groupe Admins du domaine peuvent être en mesure d'effectuer cette procédure. Pour des raisons de sécurité, il est conseillé d'utiliser la fonction Exécuter en tant que pour effectuer cette procédure.
  • Utilisez la procédure ci-dessus pour configurer l’objet de stratégie de groupe local. Pour modifier une stratégie pour un domaine ou une unité organisationnelle, vous devez vous connecter au contrôleur de domaine principal en tant qu’administrateur. Ensuite, vous devez démarrer la stratégie de groupe à l’aide du composant logiciel enfichable Utilisateurs et ordinateurs Active Directory.
  • Si le paramètre Autoriser les utilisateurs à se connecter à distance à l’aide du paramètre de stratégie de groupe des services terminal est défini sur Non configuré, l’option Activer le Bureau à distance sur cet ordinateur (sous l’onglet Distant de la boîte de dialogue Propriétés système) sur les ordinateurs cibles est prioritaire. Dans le cas contraire, les utilisateurs peuvent se connecter à distance à l’aide du paramètre de stratégie de groupe des services terminales.
  • Tenez compte des implications de sécurité des journaux distants. Les utilisateurs qui se connectent à distance peuvent effectuer des tâches comme s’ils étaient assis sur la console. Pour cette raison, vous devez vous assurer que le serveur se trouve derrière un pare-feu. Pour plus d’informations, consultez serveurs VPN et configuration du pare-feu et informations de sécurité pour IPSec.
  • Vous devez exiger que tous les utilisateurs qui effectuent des connexions à distance utilisent un mot de passe fort. Pour plus d’informations, consultez Mots de passe forts.
  • Le Bureau à distance est désactivé par défaut dans les systèmes d’exploitation Windows Server 2003.

• Pour désactiver RDP à l’aide des propriétés système

• Ouvrez Le système dans Panneau de configuration.

• Sous l’onglet Remote, sélectionnez ou désactivez le Bureau à distance sur cet ordinateur case activée zone, puis cliquez sur OK.

  Important lorsque vous activez le Bureau à distance sur un ordinateur, vous activez la fonctionnalité pour que d’autres utilisateurs et groupes se connectent à distance à l’ordinateur. Toutefois, vous devez également décider quels utilisateurs et groupes doivent être en mesure de se connecter à distance, puis les ajouter manuellement au groupe Utilisateurs bureau à distance. Pour plus d’informations, consultez Permettre aux utilisateurs de se connecter à distance au serveur et d’ajouter des utilisateurs au groupe Utilisateurs Bureau à distance.

  Remarque :

  • Vous devez être connecté en tant que membre du groupe Administration istrators pour activer ou désactiver le Bureau à distance.
  • Pour ouvrir un élément Panneau de configuration, cliquez sur Démarrer, sur Panneau de configuration, puis double-cliquez sur l’icône appropriée.
  • Tout jeu de configuration avec stratégie de groupe remplace le jeu de configuration à l’aide des propriétés système, comme décrit dans cette procédure.
  • Tenez compte des implications de sécurité des journaux distants. Les utilisateurs qui se connectent à distance peuvent effectuer des tâches comme s’ils étaient assis sur la console. Pour cette raison, vous devez vous assurer que le serveur se trouve derrière un pare-feu. Pour plus d’informations, consultez serveurs VPN et configuration du pare-feu et informations de sécurité pour IPSec.
  • Vous devez exiger que tous les utilisateurs qui effectuent des connexions à distance utilisent un mot de passe fort. Pour plus d’informations, consultez Mots de passe forts.
  • Le Bureau à distance est désactivé par défaut dans les systèmes d’exploitation Windows Server 2003.

FAQ

Le Bureau à distance est-il activé par défaut ?
Non, RDP pour l’administration n’est pas activé par défaut. Toutefois, les clients qui n’ont pas activé RDP seront toujours proposés à cette mise à jour afin de garantir la protection de leurs systèmes. Pour plus d’informations sur ce paramètre de configuration, consultez l’article TechNet, Comment activer et configurer le Bureau à distance pour Administration istration dans Windows Server 2003. Notez que cet article s’applique également aux versions ultérieures de Microsoft Windows.

Déploiement des mises à jour de sécurité

Pour plus d’informations sur le déploiement des mises à jour de sécurité, consultez l’article de la Base de connaissances Microsoft référencé dans le résumé exécutif.

Remerciements

Microsoft reconnaît les efforts de ceux de la communauté de sécurité qui nous aident à protéger les clients par le biais d’une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez accusés de réception.

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (10 mars 2015) : Bulletin publié.

Page générée 2015-03-08 9 :11Z-07 :00.