Bulletin de sécurité Microsoft MS15-043 - Critique

Mise à jour de sécurité cumulative pour Internet Explorer (3049563)

Publication : 12 mai 2015

Version : 1.0

Résumé

Cette mise à jour de sécurité résout les vulnérabilités dans Internet Explorer. Les vulnérabilités les plus graves peuvent permettre l’exécution de code à distance si un utilisateur consulte une page web spécialement conçue à l’aide d’Internet Explorer. Un attaquant qui a réussi à exploiter ces vulnérabilités pourrait obtenir les mêmes droits d’utilisateur que l’utilisateur actuel. Les clients dont les comptes sont configurés pour avoir moins de droits d’utilisateur sur le système peuvent être moins affectés que ceux qui opèrent avec des droits d’utilisateur administratifs.

Cette mise à jour de sécurité est évaluée critique pour Internet Explorer 6 (IE 6), Internet Explorer 7 (IE 7), Internet Explorer 8 (IE 8), Internet Explorer 9 (IE 9), Internet Explorer 10 (IE 10) et Internet Explorer 11 (IE 11) sur les clients Windows affectés, et Modéré pour Internet Explorer 6 (IE 6), Internet Explorer 7 (IE 7), Internet Explorer 8 (IE 8), Internet Explorer 9 (IE 9), Internet Explorer 10 (IE 10) et Internet Explorer 11 (IE 11) sur les serveurs Windows affectés. Pour plus d’informations, consultez la section Logiciels affectés.

La mise à jour de sécurité résout les vulnérabilités par :

  • Modification de la façon dont Internet Explorer gère les objets en mémoire
  • Aider à garantir que les versions affectées de JScript et VBScript et Internet Explorer implémentent correctement la fonctionnalité de sécurité ASLR
  • Ajout de validations d’autorisations supplémentaires à Internet Explorer
  • Aider à empêcher que les informations stockées dans le Presse-papiers d’un utilisateur soient accessibles par un site malveillant

Pour plus d’informations sur les vulnérabilités, consultez la section Informations sur les vulnérabilités.

Pour plus d’informations sur cette mise à jour, consultez l’article de la Base de connaissances Microsoft 3049563.

 

Logiciel affecté

Les versions ou éditions logicielles suivantes sont affectées. Les versions ou éditions qui ne sont pas répertoriées sont passées par leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

Logiciel affecté 

Système d’exploitation Composant Impact maximal sur la sécurité Évaluation de gravité agrégée Mises à jour remplacé
Internet Explorer 6
Windows Server 2003 Service Pack 2 Internet Explorer 6 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows Server 2003 x64 Edition Service Pack 2 Internet Explorer 6 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows Server 2003 avec SP2 pour les systèmes Itanium Internet Explorer 6 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Internet Explorer 7
Windows Server 2003 Service Pack 2 Internet Explorer 7 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows Server 2003 x64 Edition Service Pack 2 Internet Explorer 7 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows Server 2003 avec SP2 pour les systèmes Itanium Internet Explorer 7 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows Vista Service Pack 2 Internet Explorer 7 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows Vista x64 Edition Service Pack 2 Internet Explorer 7 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows Server 2008 pour systèmes 32 bits Service Pack 2 Internet Explorer 7 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows Server 2008 pour systèmes x64 Service Pack 2 Internet Explorer 7 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows Server 2008 pour les systèmes Itanium Service Pack 2 Internet Explorer 7 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Internet Explorer 8
Windows Server 2003 Service Pack 2 Internet Explorer 8 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows Server 2003 x64 Edition Service Pack 2 Internet Explorer 8 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows Vista Service Pack 2 Internet Explorer 8 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows Vista x64 Edition Service Pack 2 Internet Explorer 8 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows Server 2008 pour systèmes 32 bits Service Pack 2 Internet Explorer 8 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows Server 2008 pour systèmes x64 Service Pack 2 Internet Explorer 8 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows 7 pour systèmes 32 bits Service Pack 1 Internet Explorer 8 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows 7 pour systèmes x64 Service Pack 1 Internet Explorer 8 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows Server 2008 R2 pour systèmes x64 Service Pack 1 Internet Explorer 8 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows Server 2008 R2 pour les systèmes Itanium Service Pack 1 Internet Explorer 8 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Internet Explorer 9
Windows Vista Service Pack 2 Internet Explorer 9 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows Vista x64 Edition Service Pack 2 Internet Explorer 9 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows Server 2008 pour systèmes 32 bits Service Pack 2 Internet Explorer 9 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows Server 2008 pour systèmes x64 Service Pack 2 Internet Explorer 9 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows 7 pour systèmes 32 bits Service Pack 1 Internet Explorer 9 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows 7 pour systèmes x64 Service Pack 1 Internet Explorer 9 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows Server 2008 R2 pour systèmes x64 Service Pack 1 Internet Explorer 9 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Internet Explorer 10
Windows 7 pour systèmes 32 bits Service Pack 1 Internet Explorer 10 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows 7 pour systèmes x64 Service Pack 1 Internet Explorer 10 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows Server 2008 R2 pour systèmes x64 Service Pack 1 Internet Explorer 10 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows 8 pour les systèmes 32 bits Internet Explorer 10 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows 8 pour systèmes x64 Internet Explorer 10 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows Server 2012 Internet Explorer 10 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows RT Internet Explorer 10[1](3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Internet Explorer 11
Windows 7 pour systèmes 32 bits Service Pack 1 Internet Explorer 11 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows 7 pour systèmes x64 Service Pack 1 Internet Explorer 11 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows Server 2008 R2 pour systèmes x64 Service Pack 1 Internet Explorer 11 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows 8.1 pour les systèmes 32 bits Internet Explorer 11 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows 8.1 pour les systèmes x64 Internet Explorer 11 (3049563) Exécution de code à distance Critique 3038314 dans MS15-032
Windows Server 2012 R2 Internet Explorer 11 (3049563) Exécution de code à distance Modéré 3038314 dans MS15-032
Windows RT 8.1 Internet Explorer 11[1](3049563) Exécution de code à distance Critique 3038314 dans MS15-032

[1]Cette mise à jour est disponible via Windows Update.

Notez que Windows Technical Preview et Windows Server Technical Preview sont affectés. Les clients exécutant ces systèmes d’exploitation sont encouragés à appliquer la mise à jour, disponible via Windows Update

Faq sur la mise à jour

Pour traiter CVE-2015-1684 et CVE-2015-1686, quelles mises à jour s’appliquent à mon système ?
CVE-2015-1684 est une vulnérabilité dans le moteur VBScript et CVE-2015-1686 est une vulnérabilité dans les moteurs JScript et VBScript. Bien que le vecteur d’attaque soit via Internet Explorer, les vulnérabilités sont traitées par cette mise à jour (3049563) uniquement pour les systèmes exécutant Internet Explorer 8, Internet Explorer 9, Internet Explorer 10 et Internet Explorer 11. Pour Internet Explorer 7 et versions antérieures et pour les systèmes sans Internet Explorer installé, les vulnérabilités sont traitées par la mise à jour décrite dans MS15-053.

La mise à jour qui traite CVE-2015-1684 et CVE-2015-1686 dépend de la version des moteurs de script JScript et VBScript installés sur votre système. Pour plus d’informations sur la mise à jour, consultez le tableau suivant.

Version MS15-053 MS15-043
JScript 5.6 et VBScript 5.6 \ (Internet Explorer 6) JScript 5.6 et VBScript 5.6 \ (3050946) Non applicable
JScript 5.7 et VBScript 5.7\ (Internet Explorer 6 et Internet Explorer 7) JScript 5.7 et VBScript 5.7 \ (3050945) Non applicable
JScript 5.8 et VBScript 5.8 \ (Internet Explorer 8) JScript 5.8 et VBScript 5.8 \ (3050941)\ (installation principale de Windows Server sur Windows Server 2008 R2 uniquement) Internet Explorer 8 \ (3049563)
JScript 5.8 et VBScript 5.8 \ (Internet Explorer 9) Non applicable Internet Explorer 9 \ (3049563)
JScript 5.8 et VBScript 5.8 \ (Internet Explorer 10) Non applicable Internet Explorer 10 \ (3049563)
JScript 5.8 et VBScript 5.8 \ (Internet Explorer 11) Non applicable Internet Explorer 11 \ (3049563)

 

Cette mise à jour contient-elle des modifications supplémentaires liées à la sécurité apportées aux fonctionnalités ?
Outre les modifications répertoriées pour les vulnérabilités décrites dans ce bulletin, cette mise à jour inclut des mises à jour de défense en profondeur pour améliorer les fonctionnalités liées à la sécurité.

Évaluations de gravité et identificateurs de vulnérabilité

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin de mai.

Lorsqu’elles sont spécifiées dans la table Évaluation de gravité et impact, les valeurs critiques, importantes et modérées indiquent des évaluations de gravité. Pour plus d’informations, consultez Le système d’évaluation de gravité du bulletin de sécurité. Reportez-vous à la clé suivante pour les abréviations utilisées dans le tableau pour indiquer l’impact maximal :

Abréviation Impact maximal
RCE Exécution de code à distance
Eop Élévation de privilège
id Divulgation d’informations
SFB Contournement des fonctionnalités de sécurité

 

Évaluation et impact des gravités des vulnérabilités \ \ \ \ \ \ \
Numéro CVE Titre de la vulnérabilité Internet Explorer 6 Internet Explorer 7 Internet Explorer 8 Internet Explorer 9 Internet Explorer 10 Internet Explorer 11
CVE-2015-1658 Vulnérabilité d’altération de la mémoire d’Internet Explorer Non applicable Non applicable Non applicable Non applicable Non applicable Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE
CVE-2015-1684 Contournement ASLR VBScript Non applicable Non applicable Clients Windows :\ Important / SFB\ \ Serveurs Windows :\ Faible / SFB Clients Windows :\ Important / SFB\ \ Serveurs Windows :\ Faible / SFB Clients Windows :\ Important / SFB\ \ Serveurs Windows :\ Faible / SFB Clients Windows :\ Important / SFB\ \ Serveurs Windows :\ Faible / SFB
CVE-2015-1685 Contournement ASLR d’Internet Explorer Non applicable Non applicable Non applicable Non applicable Non applicable Clients Windows :\ Important / SFB\ \ Serveurs Windows :\ Faible / SFB
CVE-2015-1686 CONTOURNEMENT VBScript et JScript ASLR Non applicable Non applicable Clients Windows :\ Important / SFB\ \ Serveurs Windows :\ Faible / SFB Clients Windows :\ Important / SFB\ \ Serveurs Windows :\ Faible / SFB Clients Windows :\ Important / SFB\ \ Serveurs Windows :\ Faible / SFB Clients Windows :\ Important / SFB\ \ Serveurs Windows :\ Faible / SFB
CVE-2015-1688 Vulnérabilité d’élévation de privilèges d’Internet Explorer Non applicable Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP[1] Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP
CVE-2015-1689 Vulnérabilité d’altération de la mémoire d’Internet Explorer Non applicable Non applicable Non applicable Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE
CVE-2015-1691 Vulnérabilité d’altération de la mémoire d’Internet Explorer Non applicable Non applicable Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Non applicable Non applicable
CVE-2015-1692 Vulnérabilité de divulgation d’informations dans Le Presse-papiers Internet Explorer Non applicable Clients Windows :\ Important / ID\ \ Serveurs Windows :\ Faible / ID Clients Windows :\ Important / ID\ \ Serveurs Windows :\ Faible / ID Clients Windows :\ Important / ID\ \ Serveurs Windows :\ Faible / ID Clients Windows :\ Important / ID\ \ Serveurs Windows :\ Faible / ID Clients Windows :\ Important / ID\ \ Serveurs Windows :\ Faible / ID
CVE-2015-1694 Vulnérabilité d’altération de la mémoire d’Internet Explorer Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE
CVE-2015-1703 Vulnérabilité d’élévation de privilèges d’Internet Explorer Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP
CVE-2015-1704 Vulnérabilité d’élévation de privilèges d’Internet Explorer Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP
CVE-2015-1705 Vulnérabilité d’altération de la mémoire d’Internet Explorer Non applicable Non applicable Non applicable Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE
CVE-2015-1706 Vulnérabilité d’altération de la mémoire d’Internet Explorer Non applicable Non applicable Non applicable Non applicable Non applicable Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE
CVE-2015-1708 Vulnérabilité d’altération de la mémoire d’Internet Explorer Non applicable Non applicable Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Non applicable Non applicable
CVE-2015-1709 Vulnérabilité d’altération de la mémoire d’Internet Explorer Non applicable Non applicable Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE
CVE-2015-1710 Vulnérabilité d’altération de la mémoire d’Internet Explorer Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE
CVE-2015-1711 Vulnérabilité d’altération de la mémoire d’Internet Explorer Non applicable Non applicable Non applicable Non applicable Non applicable Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE
CVE-2015-1712 Vulnérabilité d’altération de la mémoire d’Internet Explorer Non applicable Non applicable Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Non applicable Non applicable
CVE-2015-1713 Vulnérabilité d’élévation de privilèges d’Internet Explorer Non applicable Non applicable Non applicable Non applicable Non applicable Clients Windows :\ Important / EoP\ \ Serveurs Windows :\ Low / EoP
CVE-2015-1714 Vulnérabilité d’altération de la mémoire d’Internet Explorer Non applicable Non applicable Non applicable Non applicable Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE
CVE-2015-1717 Vulnérabilité d’altération de la mémoire d’Internet Explorer Non applicable Non applicable Non applicable Non applicable Non applicable Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE
CVE-2015-1718 Vulnérabilité d’altération de la mémoire d’Internet Explorer Non applicable Non applicable Non applicable Non applicable Non applicable Clients Windows :\ Critique / RCE\ \ Serveurs Windows :\ Modéré / RCE

[1]Internet Explorer 7 installé sur Windows Server 2003 n’est pas affecté par cette vulnérabilité.

 

Informations sur la vulnérabilité

Contournement ASLR VBScript - CVE-2015-1684

Une déviation des fonctionnalités de sécurité existe lorsque le moteur VBScript ne parvient pas à utiliser la fonctionnalité de sécurité ASLR (Address Space Layout Randomization), ce qui permet à un attaquant de prédire de manière plus fiable les décalages de mémoire des instructions spécifiques dans une pile d’appels donnée. La fonctionnalité de sécurité contourne elle-même n’autorise pas l’exécution arbitraire du code. Toutefois, un attaquant peut utiliser le contournement ASLR conjointement avec une autre vulnérabilité, telle qu’une vulnérabilité d’exécution de code à distance, qui pourrait tirer parti du contournement ASLR pour exécuter du code arbitraire de manière plus fiable sur un système cible.

Dans un scénario de navigation web, l’exploitation réussie d’un contournement ASLR nécessite qu’un utilisateur soit connecté et exécutant une version affectée d’Internet Explorer, et accède à un site web malveillant. Par conséquent, tous les systèmes dans lesquels un navigateur web est utilisé fréquemment, tels que les stations de travail ou les serveurs de terminal, sont les plus exposés aux contournements ASLR. Les serveurs peuvent être plus risqués si les administrateurs autorisent les utilisateurs à parcourir et lire les e-mails sur les serveurs. Toutefois, les meilleures pratiques découragent fortement cette autorisation.

La mise à jour traite ce contournement ASLR en aidant à garantir que les versions affectées de VBScript implémentent correctement la fonctionnalité de sécurité ASLR. Le tableau suivant contient des liens vers l’entrée standard pour chaque vulnérabilité dans la liste Des vulnérabilités et des expositions courantes :

Titre de la vulnérabilité Numéro CVE Divulgation publique Exploités
Contournement ASLR VBScript CVE-2015-1684 Non Non

 

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Les solutions de contournement suivantes peuvent être utiles dans votre situation :

  • Restreindre l’accès à VBScript.dll

    • Pour les systèmes 32 bits, entrez la commande suivante à l’invite de commandes d’administration :
            takeown /f %windir%\system32\vbscript.dll   
            cacls %windir%\system32\vbscript.dll /E /P everyone:N          
    
    • Pour les systèmes 64 bits, entrez la commande suivante à l’invite de commandes d’administration :
            takeown /f %windir%\syswow64\vbscript.dll   
            cacls %windir%\syswow64\vbscript.dll /E /P everyone:N         
    

    Impact de la solution de contournement. Les sites web qui utilisent VBScript peuvent ne pas fonctionner correctement.

    Comment annuler la solution de contournement.

    • Pour les systèmes 32 bits, entrez la commande suivante à l’invite de commandes d’administration :
            cacls %windir%\system32\vbscript.dll /E /R everyone          
    
    • Pour les systèmes 64 bits, entrez la commande suivante à l’invite de commandes d’administration :
            cacls %windir%\syswow64\vbscript.dll /E /R everyone          
    

CONTOURNEMENT VBScript et JScript ASLR - CVE-2015-1686

Une déviation des fonctionnalités de sécurité existe lorsque les moteurs JScript et VBScript ne parviennent pas à utiliser la fonctionnalité de sécurité ASLR (Address Space Layout Randomization), ce qui permet à un attaquant de prédire de manière plus fiable les décalages de mémoire d’instructions spécifiques dans une pile d’appels donnée. La fonctionnalité de sécurité contourne elle-même n’autorise pas l’exécution arbitraire du code. Toutefois, un attaquant peut utiliser le contournement ASLR conjointement avec une autre vulnérabilité, telle qu’une vulnérabilité d’exécution de code à distance, pour exécuter de manière plus fiable du code arbitraire sur un système cible.

Dans un scénario de navigation web, l’exploitation réussie d’un contournement ASLR nécessite qu’un utilisateur soit connecté et exécutant une version affectée d’Internet Explorer, et accède à un site malveillant. Par conséquent, tous les systèmes dans lesquels un navigateur web est utilisé fréquemment, tels que les stations de travail ou les serveurs de terminal, sont les plus exposés aux contournements ASLR. Les serveurs peuvent être plus risqués si les administrateurs autorisent les utilisateurs à parcourir et lire les e-mails sur les serveurs. Toutefois, les meilleures pratiques découragent fortement cette autorisation.

La mise à jour traite ce contournement d’ASLR en aidant à garantir que les versions affectées de JScript et VBScript implémentent correctement la fonctionnalité de sécurité ASLR. Le tableau suivant contient des liens vers l’entrée standard pour chaque vulnérabilité dans la liste Des vulnérabilités et des expositions courantes :

Titre de la vulnérabilité Numéro CVE Divulgation publique Exploités
CONTOURNEMENT VBScript et JScript ASLR CVE-2015-1686 Non Non

 

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour cette vulnérabilité.

Contournement ASLR d’Internet Explorer - CVE-2015-1685

Une vulnérabilité de contournement des fonctionnalités de sécurité existe quand Internet Explorer ne parvient pas à utiliser la fonctionnalité de sécurité ASLR (Address Space Layout Randomization), ce qui permet à un attaquant de prédire de manière plus fiable les décalages de mémoire d’instructions spécifiques dans une pile d’appels donnée. Un attaquant qui a réussi à exploiter cette vulnérabilité peut contourner la fonctionnalité de sécurité ASLR (Address Space Layout Randomization), qui permet de protéger les utilisateurs contre une large classe de vulnérabilités. La fonctionnalité de sécurité contourne elle-même n’autorise pas l’exécution arbitraire du code. Toutefois, un attaquant peut utiliser cette vulnérabilité de contournement ASLR conjointement avec une autre vulnérabilité, telle qu’une vulnérabilité d’exécution de code à distance, pour exécuter de manière plus fiable du code arbitraire sur un système cible.

Dans un scénario de navigation web, l’exploitation réussie de cette vulnérabilité nécessite qu’un utilisateur soit connecté et exécutant une version affectée d’Internet Explorer, et accède à un site malveillant. Par conséquent, tous les systèmes où un navigateur web est utilisé fréquemment, tels que les stations de travail ou les serveurs terminal, sont à risque de cette vulnérabilité. Les serveurs peuvent être plus risqués si les administrateurs autorisent les utilisateurs à parcourir et lire les e-mails sur les serveurs. Toutefois, les meilleures pratiques découragent fortement cette autorisation.

La mise à jour résout la vulnérabilité en aidant à garantir que les versions affectées d’Internet Explorer implémentent correctement la fonctionnalité de sécurité ASLR. Le tableau suivant contient des liens vers l’entrée standard pour chaque vulnérabilité dans la liste Des vulnérabilités et des expositions courantes :

Titre de la vulnérabilité Numéro CVE Divulgation publique Exploités
Contournement ASLR d’Internet Explorer CVE-2015-1685 Non Non

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour cette vulnérabilité.

Vulnérabilités d’élévation de privilèges multiples

L’élévation des vulnérabilités de privilège existe quand Internet Explorer ne valide pas correctement les autorisations dans des conditions spécifiques, ce qui peut permettre l’exécution du script avec des privilèges élevés.

Dans un scénario d’attaque web, un attaquant peut héberger un site web utilisé pour tenter d’exploiter ces vulnérabilités. En outre, les sites web et sites web compromis qui acceptent ou hébergent du contenu fourni par l’utilisateur peuvent contenir du contenu spécialement conçu qui pourrait exploiter ces vulnérabilités. Dans tous les cas, toutefois, un attaquant n’aurait aucun moyen de forcer les utilisateurs à afficher le contenu contrôlé par l’attaquant. Au lieu de cela, un attaquant aurait à convaincre les utilisateurs de prendre des mesures. Par exemple, un attaquant peut inciter les utilisateurs à cliquer sur un lien qui les amène sur le site de l’attaquant. Un attaquant qui a réussi à exploiter ces vulnérabilités peut élever des privilèges dans les versions affectées d’Internet Explorer.

Ces vulnérabilités elles-mêmes n’autorisent pas l’exécution de code arbitraire. Toutefois, ces vulnérabilités peuvent être utilisées conjointement avec une autre vulnérabilité (par exemple, une vulnérabilité d’exécution de code à distance) qui pourrait tirer parti des privilèges élevés lors de l’exécution de code arbitraire. Par exemple, un attaquant peut exploiter une autre vulnérabilité pour exécuter du code arbitraire via Internet Explorer, mais en raison du contexte dans lequel les processus sont lancés par Internet Explorer, le code peut être limité pour s’exécuter à un niveau d’intégrité faible (autorisations très limitées). Toutefois, un attaquant peut, à son tour, exploiter ces vulnérabilités pour provoquer l’exécution du code arbitraire à un niveau d’intégrité moyen (autorisations de l’utilisateur actuel).

La mise à jour résout les vulnérabilités en ajoutant des validations d’autorisation supplémentaires à Internet Explorer. Le tableau suivant contient des liens vers l’entrée standard pour chaque vulnérabilité dans la liste Des vulnérabilités et des expositions courantes :

Titre de la vulnérabilité Numéro CVE Divulgation publique Exploités
Vulnérabilité d’élévation de privilèges d’Internet Explorer CVE-2015-1688 Non Non
Vulnérabilité d’élévation de privilèges d’Internet Explorer CVE-2015-1703 Non Non
Vulnérabilité d’élévation de privilèges d’Internet Explorer CVE-2015-1704 Non Non
Vulnérabilité d’élévation de privilèges d’Internet Explorer CVE-2015-1713 Non Non

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour ces vulnérabilités.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour ces vulnérabilités.

Vulnérabilité de divulgation d’informations du Presse-papiers Internet Explorer - CVE-2015-1692

Une vulnérabilité de divulgation d’informations existe quand Internet Explorer ne limite pas correctement l’accès au Presse-papiers d’un utilisateur qui visite un site web. La vulnérabilité peut autoriser l’accès aux données stockées dans le Presse-papiers Windows par un site malveillant. Un attaquant peut collecter des informations à partir du Presse-papiers d’un utilisateur si cet utilisateur visite le site malveillant et effectue une opération de Presse-papiers.

Dans un scénario d’attaque web, un attaquant peut héberger un site web utilisé pour tenter d’exploiter cette vulnérabilité. En outre, les sites web et sites web compromis qui acceptent ou hébergent du contenu fourni par l’utilisateur peuvent contenir du contenu spécialement conçu qui pourrait exploiter cette vulnérabilité. Dans tous les cas, toutefois, un attaquant n’aurait aucun moyen de forcer les utilisateurs à afficher le contenu contrôlé par l’attaquant. Au lieu de cela, un attaquant aurait à convaincre les utilisateurs de prendre des mesures. Par exemple, un attaquant peut inciter les utilisateurs à cliquer sur un lien qui les amène sur le site de l’attaquant. Un attaquant qui a réussi à exploiter cette vulnérabilité peut collecter des informations à partir du Presse-papiers si cet utilisateur visite le site malveillant et effectue une opération de Presse-papiers.

La mise à jour résout la vulnérabilité en limitant l’accès aux informations stockées dans le Presse-papiers d’un utilisateur. Le tableau suivant contient des liens vers l’entrée standard pour chaque vulnérabilité dans la liste Des vulnérabilités et des expositions courantes :

Titre de la vulnérabilité Numéro CVE Divulgation publique Exploités
Vulnérabilité de divulgation d’informations dans Le Presse-papiers Internet Explorer CVE-2015-1692 Non Non

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Les solutions de contournement suivantes peuvent être utiles dans votre situation :

  • Désactiver l’accès au Presse-papiers dans Internet Explorer
    Vous pouvez désactiver l’accès de script au Presse-papiers dans Internet Explorer en modifiant les paramètres de sécurité

    Pour refuser l’accès au Presse-papiers, procédez comme suit :

    1. Dans le menu Outils Internet Explorer, cliquez sur Options Internet.
    2. Dans la boîte de dialogue Options Internet, cliquez sur l’onglet Sécurité .
    3. Cliquez sur Internet pour sélectionner la zone Internet, puis sur Niveau personnalisé
    4. Dans le menu Paramètres, faites défiler jusqu’à Autoriser l’accès au Presse-papiers programmatique, puis cliquez sur Désactiver.
    5. Cliquez sur OK deux fois pour quitter la boîte de dialogue Options Internet.
       
  • Impact de la solution de contournement. Les scripts web ne pourront pas accéder au Presse-papiers.

  • Comment annuler la solution de contournement.

    1. Dans le menu Outils Internet Explorer, cliquez sur Options Internet.
    2. Dans la boîte de dialogue Options Internet, cliquez sur l’onglet Sécurité .
    3. Cliquez sur Internet pour sélectionner la zone Internet, puis sur Niveau personnalisé
    4. Dans le menu Paramètres, faites défiler jusqu’à Autoriser l’accès au Presse-papiers programmatique, puis cliquez sur Activer.
    5. Cliquez sur OK deux fois pour quitter la boîte de dialogue Options Internet.  
  • Désactiver l’accès de script au Presse-papiers dans la stratégie de groupe

    1. Ouvrez la Console de gestion des stratégies de groupe (GPMC, Group Policy Management Console).

    2. Dans l’Éditeur de gestion des stratégies de groupe, accédez au paramètre suivant :

      Configuration de l’ordinateur -> modèles Administration istratives -> Composants Windows - Internet Explorer ->> Internet Panneau de configuration -> Page sécurité -> Zone Internet

    3. Cliquez avec le bouton droit sur Autoriser les opérations couper, copier ou coller à partir du Presse-papiers via un script , puis***cliquez sur Modifier.

    4. Dans l’opération Autoriser le collage via la boîte de dialogue Script , cliquez sur Désactivé.

    5. Cliquez sur OK , puis redémarrez l’ordinateur.  

    Impact de la solution de contournement. Les scripts web ne pourront pas accéder au Presse-papiers.

    Comment annuler la solution de contournement.

    1. Ouvrez la Console de gestion des stratégies de groupe (GPMC, Group Policy Management Console).

    2. Dans l’Éditeur de gestion des stratégies de groupe, accédez au paramètre suivant :

      Configuration de l’ordinateur -> modèles Administration istratives -> Composants Windows -> Internet Explorer -> Internet Panneau de configuration - Page avancée ->> Désactiver la prise en charge du chiffrement

    3. Cliquez avec le bouton droit sur Autoriser les opérations couper, copier ou coller à partir du Presse-papiers via un script , puis***cliquez sur Modifier.

    4. Dans l’opération Autoriser le collage via la boîte de dialogue Script , cliquez sur Activé.

    5. Cliquez sur OK , puis redémarrez l’ordinateur.

FAQ

J’exécute Internet Explorer pour Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 ou Windows Server 2012 R2. Cela atténue-t-il cette vulnérabilité ? 
Oui. Par défaut, Internet Explorer sur Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 et Windows Server 2012 R2 s’exécute en mode restreint appelé Configuration de sécurité renforcée. La configuration de sécurité améliorée est un groupe de paramètres préconfigurés dans Internet Explorer qui peuvent réduire la probabilité qu’un utilisateur ou un administrateur télécharge et exécute du contenu web spécialement conçu sur un serveur. Il s’agit d’un facteur d’atténuation pour les sites web que vous n’avez pas ajoutés à la zone sites approuvés Internet Explorer.

Vulnérabilités d’altération de la mémoire multiples dans Internet Explorer

Des vulnérabilités d’exécution de code à distance existent quand Internet Explorer accède incorrectement aux objets en mémoire. Ces vulnérabilités peuvent endommager la mémoire de telle sorte qu’un attaquant puisse exécuter du code arbitraire dans le contexte de l’utilisateur actuel.

Un attaquant peut héberger un site web spécialement conçu pour exploiter ces vulnérabilités via Internet Explorer, puis convaincre un utilisateur d’afficher le site web. L’attaquant peut également tirer parti des sites web et sites web compromis qui acceptent ou hébergent du contenu ou des publicités fournis par l’utilisateur en ajoutant du contenu spécialement conçu qui pourrait exploiter ces vulnérabilités. Dans tous les cas, toutefois, un attaquant n’aurait aucun moyen de forcer les utilisateurs à afficher le contenu contrôlé par l’attaquant. Au lieu de cela, un attaquant doit convaincre les utilisateurs de prendre des mesures, généralement en les obtenant pour cliquer sur un lien dans un messager instantané ou un message électronique qui amène les utilisateurs sur le site web de l’attaquant, ou en les obtenant pour ouvrir une pièce jointe envoyée par e-mail.

Un attaquant qui a réussi à exploiter ces vulnérabilités pourrait obtenir les mêmes droits d’utilisateur que l’utilisateur actuel. Si l’utilisateur actuel est connecté avec des droits d’utilisateur administratifs, un attaquant qui a réussi à exploiter ces vulnérabilités peut prendre le contrôle complet d’un système affecté. Un attaquant peut alors installer des programmes, afficher, modifier ou supprimer des données, ou créer des comptes avec des droits d’utilisateur complets. Les systèmes dans lesquels Internet Explorer est utilisé fréquemment, tels que les stations de travail ou les serveurs terminal, sont les plus exposés à ces vulnérabilités.

La mise à jour résout les vulnérabilités en modifiant la façon dont Internet Explorer gère les objets en mémoire. Le tableau suivant contient des liens vers l’entrée standard pour chaque vulnérabilité dans la liste Des vulnérabilités et des expositions courantes :

Titre de la vulnérabilité Numéro CVE Divulgation publique Exploités
Vulnérabilité d’altération de la mémoire d’Internet Explorer CVE-2015-1658 Non Non
Vulnérabilité d’altération de la mémoire d’Internet Explorer CVE-2015-1689 Non Non
Vulnérabilité d’altération de la mémoire d’Internet Explorer CVE-2015-1691 Non Non
Vulnérabilité d’altération de la mémoire d’Internet Explorer CVE-2015-1694 Non Non
Vulnérabilité d’altération de la mémoire d’Internet Explorer CVE-2015-1705 Non Non
Vulnérabilité d’altération de la mémoire d’Internet Explorer CVE-2015-1706 Non Non
Vulnérabilité d’altération de la mémoire d’Internet Explorer CVE-2015-1708 Non Non
Vulnérabilité d’altération de la mémoire d’Internet Explorer CVE-2015-1709 Non Non
Vulnérabilité d’altération de la mémoire d’Internet Explorer CVE-2015-1710 Non Non
Vulnérabilité d’altération de la mémoire d’Internet Explorer CVE-2015-1711 Non Non
Vulnérabilité d’altération de la mémoire d’Internet Explorer CVE-2015-1712 Non Non
Vulnérabilité d’altération de la mémoire d’Internet Explorer CVE-2015-1714 Non Non
Vulnérabilité d’altération de la mémoire d’Internet Explorer CVE-2015-1717 Non Non
Vulnérabilité d’altération de la mémoire d’Internet Explorer CVE-2015-1718 Non Non

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour ces vulnérabilités.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour ces vulnérabilités.

FAQ

J’exécute Internet Explorer sur Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 ou Windows Server 2012 R2. Cela atténue-t-il ces vulnérabilités ? 
Oui. Par défaut, Internet Explorer sur Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 et Windows Server 2012 R2 s’exécute en mode restreint appelé Configuration de sécurité renforcée. La configuration de sécurité améliorée est un groupe de paramètres préconfigurés dans Internet Explorer qui peuvent réduire la probabilité qu’un utilisateur ou un administrateur télécharge et exécute du contenu web spécialement conçu sur un serveur. Il s’agit d’un facteur d’atténuation pour les sites web que vous n’avez pas ajoutés à la zone sites approuvés Internet Explorer.

EMET peut-il aider à atténuer les attaques qui tentent d’exploiter ces vulnérabilités ? 
Oui. L’expérience d’atténuation améliorée Shared Computer Toolkit (EMET) permet aux utilisateurs de gérer les technologies d’atténuation de la sécurité qui permettent aux attaquants d’exploiter les vulnérabilités de corruption de mémoire dans un logiciel donné. EMET peut aider à atténuer les attaques qui tentent d’exploiter ces vulnérabilités dans Internet Explorer sur les systèmes où EMET est installé et configuré pour fonctionner avec Internet Explorer.

Pour plus d’informations sur EMET, consultez l’expérience d’atténuation améliorée Shared Computer Toolkit.

Déploiement des mises à jour de sécurité

Pour plus d’informations sur le déploiement des mises à jour de sécurité, consultez l’article de la Base de connaissances Microsoft référencé dans le résumé exécutif.

Remerciements

Microsoft reconnaît les efforts de ceux de la communauté de sécurité qui nous aident à protéger les clients par le biais d’une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez accusés de réception.

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

  • V1.0 (12 mai 2015) : Bulletin publié.

Page générée 2015-05-06 13 :56Z-07 :00.