Bulletin de sécurité Microsoft MS15-092 - Important

Les vulnérabilités dans .NET Framework peuvent autoriser l’élévation de privilèges (3086251)

Publication : 11 août 2015 | Mise à jour : 25 septembre 2015

Version : 1.2

Résumé

Cette mise à jour de sécurité résout les vulnérabilités dans Microsoft .NET Framework. Les vulnérabilités peuvent autoriser l’élévation de privilèges si un utilisateur exécute une application .NET spécialement conçue. Toutefois, dans tous les cas, un attaquant n’aurait aucun moyen de forcer les utilisateurs à exécuter l’application ; un attaquant aurait à convaincre les utilisateurs de le faire.

Cette mise à jour de sécurité est évaluée comme importante pour Microsoft .NET Framework 4.6 sur toutes les versions prises en charge de Microsoft Windows, à l’exception des éditions Itanium. Pour plus d’informations, consultez la section Logiciels affectés.

La mise à jour de sécurité résout les vulnérabilités en corrigeant l’optimisation du compilateur RyuJIT pour .NET Framework. Pour plus d’informations sur les vulnérabilités, consultez la section Informations sur les vulnérabilités.

Pour plus d’informations sur cette mise à jour, consultez l’article 3086251 de la Base de connaissances Microsoft.

Logiciel affecté

Les versions ou éditions logicielles suivantes sont affectées. Les versions ou éditions qui ne sont pas répertoriées sont passées par leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

Système d’exploitation Composant Impact maximal sur la sécurité Évaluation de gravité agrégée Mises à jour remplacé
Windows Vista
Windows Vista Service Pack 2 Microsoft .NET Framework 4.6 (3083186) Élévation de privilège Important Aucun
Windows Vista x64 Edition Service Pack 2 Microsoft .NET Framework 4.6 (3083186) Élévation de privilège Important Aucun
Windows Server 2008
Windows Server 2008 pour systèmes 32 bits Service Pack 2 Microsoft .NET Framework 4.6 (3083186) Élévation de privilège Important Aucun
Windows Server 2008 pour systèmes x64 Service Pack 2 Microsoft .NET Framework 4.6 (3083186) Élévation de privilège Important Aucun
Windows 7
Windows 7 pour systèmes 32 bits Service Pack 1 Microsoft .NET Framework 4.6 (3083186) Élévation de privilège Important Aucun
Windows 7 pour systèmes x64 Service Pack 1 Microsoft .NET Framework 4.6 (3083186) Élévation de privilège Important Aucun
Windows Server 2008 R2
Windows Server 2008 R2 pour systèmes x64 Service Pack 1 Microsoft .NET Framework 4.6 (3083186) Élévation de privilège Important Aucun
Windows 8 et Windows 8.1
Windows 8 pour les systèmes 32 bits Microsoft .NET Framework 4.6 (3083184) Élévation de privilège Important Aucun
Windows 8 pour systèmes x64 Microsoft .NET Framework 4.6 (3083184) Élévation de privilège Important Aucun
Windows 8.1 pour les systèmes 32 bits Microsoft .NET Framework 4.6 (3083185) Élévation de privilège Important Aucun
Windows 8.1 pour les systèmes x64 Microsoft .NET Framework 4.6 (3083185) Élévation de privilège Important Aucun
Windows Server 2012 et Windows Server 2012 R2
Windows Server 2012 Microsoft .NET Framework 4.6 (3083184) Élévation de privilège Important Aucun
Windows Server 2012 R2 Microsoft .NET Framework 4.6 (3083185) Élévation de privilège Important Aucun
Windows RT et Windows RT 8.1
Windows RT[1] Microsoft .NET Framework 4.6 (3083184) Élévation de privilège Important Aucun
Windows RT 8.1[1] Microsoft .NET Framework 4.6 (3083185) Élévation de privilège Important Aucun
Windows 10
Windows 10 pour systèmes 32 bits[2] Microsoft .NET Framework 4.6 (3081436) Élévation de privilège Important Aucun
Windows 10 pour systèmes x64[2] Microsoft .NET Framework 4.6 (3081436) Élévation de privilège Important Aucun
Option d’installation server Core
Windows Server 2008 pour systèmes 32 bits Service Pack 2 (installation Server Core) Microsoft .NET Framework 4.6 (3083186) Élévation de privilège Important Aucun
Windows Server 2008 pour systèmes x64 Service Pack 2 (installation server Core) Microsoft .NET Framework 4.6 (3083186) Élévation de privilège Important Aucun
Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (installation server Core) Microsoft .NET Framework 4.6 (3083186) Élévation de privilège Important Aucun
Windows Server 2012 (installation minimale) Microsoft .NET Framework 4.6 (3083184) Élévation de privilège Important Aucun
Windows Server 2012 R2 (installation minimale) Microsoft .NET Framework 4.6 (3083185) Élévation de privilège Important Aucun

[1]Les mises à jour de sécurité pour les systèmes d’exploitation Windows RT sont disponibles uniquement via Windows Update .

[2]La mise à jour de Windows 10 est cumulative. En plus de contenir des mises à jour non liées à la sécurité, il contient également tous les correctifs de sécurité pour toutes les vulnérabilités affectées par Windows 10 avec la version de sécurité de ce mois-ci. La mise à jour est disponible uniquement via le catalogue Windows Update. Consultez l’article de la Base de connaissances Microsoft 3081436 pour plus d’informations et télécharger des liens.

Notez Mises à jour sont également disponibles pour Microsoft .NET Framework 4.6 RC, qui sont disponibles via le Centre de téléchargement Microsoft et Windows Update.

Notez que Windows Server Technical Preview 2 est affecté. Les clients exécutant ce système d’exploitation sont encouragés à appliquer la mise à jour, disponible via Windows Update.

Faq sur la mise à jour

Comment faire déterminer quelle version de Microsoft .NET Framework est installée ?
Vous pouvez installer et exécuter plusieurs versions de .NET Framework sur un système et installer les versions dans n’importe quel ordre. Pour plus d’informations, consultez l’article 318785 de la Base de connaissances Microsoft.

Évaluations de gravité et identificateurs de vulnérabilité

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin d’août.

Évaluation de la gravité des vulnérabilités et impact maximal sur la sécurité par les logiciels affectés
Logiciel affecté Vulnérabilité d’élévation de privilège d’optimisation RyuJIT - CVE-2015-2479 Vulnérabilité d’élévation de privilège d’optimisation RyuJIT - CVE-2015-2480 Vulnérabilité d’élévation de privilège d’optimisation RyuJIT - CVE-2015-2481 Évaluation de gravité agrégée
Microsoft .NET Framework 4.6
Microsoft .NET Framework 4.6 quand il est installé sur Windows Vista Service Pack 2 Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows Vista x64 Edition Service Pack 2 Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows Server 2008 pour systèmes 32 bits Service Pack 2 Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 lorsqu’il est installé sur Windows Server 2008 pour systèmes 32 bits Service Pack 2 (installation Server Core) Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows Server 2008 pour systèmes x64 Service Pack 2 Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows Server 2008 pour systèmes x64 Service Pack 2 (installation Server Core) Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows 7 pour systèmes 32 bits Service Pack 1 Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows 7 pour systèmes x64 Service Pack 1 Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows Server 2008 R2 pour systèmes x64 Service Pack 1 Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (installation Server Core) Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows 8 pour les systèmes 32 bits Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows 8 pour les systèmes x64 Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows 8.1 pour les systèmes 32 bits Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows 8.1 pour les systèmes x64 Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Microsoft .NET Framework 4.6 quand il est installé sur Windows Server 2012 Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 lorsqu’il est installé sur Windows Server 2012 (installation Server Core) Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows Server 2012 R2 Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 lorsqu’il est installé sur Windows Server 2012 R2 (installation Server Core) Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows RT Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows RT 8.1 Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows 10 pour les systèmes 32 bits Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important
Microsoft .NET Framework 4.6 quand il est installé sur Windows 10 pour systèmes x64 Élévation de privilège importante Élévation de privilège importante Élévation de privilège importante Important

Informations sur la vulnérabilité

Plusieurs vulnérabilités d’optimisation RyuJIT

L’élévation des vulnérabilités de privilèges existe dans Microsoft .NET Framework lorsque le compilateur RyuJIT optimise incorrectement certains paramètres, ce qui entraîne une erreur de génération de code. Un attaquant qui a réussi à exploiter cette vulnérabilité peut prendre le contrôle complet d’un système affecté. Un attaquant peut alors installer des programmes, afficher, modifier ou supprimer des données, ou créer des comptes avec des droits d’utilisateur complets. Les utilisateurs dont les comptes sont configurés avec des droits restreints sur le système sont moins vulnérables que les utilisateurs qui ont des droits administratifs.

Pour exploiter ces vulnérabilités, un attaquant doit héberger une application .NET spécialement conçue et convaincre les utilisateurs d’exécuter l’application. Toutefois, dans tous les cas, un attaquant n’aurait aucun moyen de forcer les utilisateurs à exécuter l’application ; un attaquant aurait à convaincre les utilisateurs de le faire. La mise à jour de sécurité résout les vulnérabilités en corrigeant l’optimisation du compilateur RyuJIT pour .NET Framework.

Les tableaux suivants contiennent des liens vers l’entrée standard pour chaque vulnérabilité dans la liste Des vulnérabilités et des expositions courantes :

Titre de la vulnérabilité Numéro CVE Divulgation publique Exploités
Vulnérabilité d’élévation de privilèges d’optimisation RyuJIT CVE-2015-2479 Non Non
Vulnérabilité d’élévation de privilèges d’optimisation RyuJIT CVE-2015-2480 Non Non
Vulnérabilité d’élévation de privilèges d’optimisation RyuJIT CVE-2015-2481 Non Non

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour ces vulnérabilités.

Solutions de contournement

Les solutions de contournement suivantes peuvent être utiles dans votre situation :

  • Désactiver RyuJIT

    Avertissement Si vous utilisez l’Éditeur du Registre de manière incorrecte, vous risquez de provoquer de graves problèmes qui peuvent nécessiter la réinstallation de votre système d’exploitation. Microsoft ne peut pas vous garantir que vous pourrez résoudre les problèmes qui résulteront d'une mauvaise utilisation de l'éditeur du registre. Son utilisation est sous votre entière responsabilité.

    1. Créez un fichier texte nommé RyuJIT-disable.reg qui contient le texte suivant :

      Windows Registry Editor Version 5.00  
      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework]  
      "useLegacyJit"=dword:00000001
      
    2. Exécutez regedit.exe.

    3. Dans l’Éditeur du Registre, cliquez sur Fichier , puis sur Importer.

    4. Accédez au fichier RyuJIT-disable.reg que vous avez créé à la première étape et sélectionnez-le.
      (Remarque : Si votre fichier n’est pas répertorié là où vous vous attendez, assurez-vous qu’il n’a pas été automatiquement attribué à une extension de fichier .txt, ou modifiez les paramètres d’extension de fichier de la boîte de dialogue sur Tous les fichiers).

    5. Cliquez sur Ouvrir , puis sur OK.

    6. Fermez l’Éditeur du Registre et redémarrez le système.

Impact de la solution de contournement. Le compilateur JIT hérité sera appelé à la place du compilateur RyuJIT.

Comment annuler la solution de contournement.

  1. Créez un fichier texte nommé RyuJIT-enable.reg qui contient le texte suivant :

    Windows Registry Editor Version 5.00  
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework]  
    "useLegacyJit"=dword:00000000
    
  2. Exécutez regedit.exe.

  3. Dans l’Éditeur du Registre, cliquez sur Fichier , puis sur Importer.

  4. Accédez au fichier RyuJIT-enable.reg que vous avez créé à la première étape et sélectionnez-le.
    (Remarque : Si votre fichier n’est pas répertorié là où vous vous attendez, assurez-vous qu’il n’a pas été automatiquement attribué à une extension de fichier .txt, ou modifiez les paramètres d’extension de fichier de la boîte de dialogue sur Tous les fichiers).

  5. Cliquez sur Ouvrir , puis sur OK.

  6. Fermez l’Éditeur du Registre et redémarrez le système.

Déploiement des mises à jour de sécurité

Pour plus d’informations sur le déploiement des mises à jour de sécurité, consultez l’article de la Base de connaissances Microsoft référencé ici dans le résumé exécutif.

Remerciements

Microsoft reconnaît les efforts de ceux de la communauté de sécurité qui nous aident à protéger les clients par le biais d’une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez accusés de réception.

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

  • V1.0 (11 août 2015) : Bulletin publié.
  • V1.1 (24 août 2015) : Bulletin mis à jour pour informer les clients que le 18 août 2015, une modification des métadonnées a été implémentée sur Windows Update pour les mises à jour documentées dans ce bulletin. Il s’agit d’une modification d’information uniquement. Aucune modification n’a été apportée aux fichiers de mise à jour. Les clients qui ont déjà mis à jour leurs systèmes n’ont pas besoin d’agir.
  • V1.2 (25 septembre 2015) : ajout d’une note de bas de page à la table logicielle affectée pour informer les clients que Windows Server Technical Preview 2 est affecté. Les clients exécutant ce système d’exploitation sont encouragés à appliquer la mise à jour, disponible via Windows Update.

Page générée 2015-09-25 10 :10-07 :00.