Bulletin de sécurité Microsoft MS14-060 - Important

Vulnérabilité dans Windows OLE peut autoriser l’exécution de code à distance (3000869)

Publication : 14 octobre 2014 | Mise à jour : 16 octobre 2014

Version : 1.1

Informations générales

Résumé

Cette mise à jour de sécurité résout une vulnérabilité signalée en privé dans Microsoft Windows. La vulnérabilité peut autoriser l’exécution de code distant si un utilisateur ouvre un fichier Microsoft Bureau qui contient un objet OLE spécialement conçu. Un attaquant qui a réussi à exploiter cette vulnérabilité peut exécuter du code arbitraire dans le contexte de l’utilisateur actuel. Si l’utilisateur actuel est connecté avec des droits d’utilisateur administratifs, un attaquant peut alors installer des programmes ; afficher, modifier ou supprimer des données ; ou créez des comptes avec des droits d’utilisateur complets. Les clients dont les comptes sont configurés pour avoir moins de droits d’utilisateur sur le système peuvent être moins affectés que les utilisateurs qui opèrent avec des droits d’utilisateur administratifs.

Cette mise à jour de sécurité est classée Importante pour toutes les versions prises en charge de Microsoft Windows, à l’exclusion de Windows Server 2003. Pour plus d’informations, consultez la section Logiciels affectés.

La mise à jour de sécurité résout la vulnérabilité en modifiant la façon dont les objets OLE sont activés dans Windows. Pour plus d’informations sur la vulnérabilité, consultez la sous-section Questions fréquentes (FAQ) sur la vulnérabilité spécifique plus loin dans ce bulletin.

Recommandation.  La plupart des clients ont la mise à jour automatique activée et n’ont pas besoin d’effectuer d’action, car cette mise à jour de sécurité est téléchargée et installée automatiquement. Pour plus d’informations sur les options de configuration spécifiques dans la mise à jour automatique, consultez l’article de la Base de connaissances Microsoft 294871. Pour les clients qui n’ont pas activé la mise à jour automatique, les étapes de la mise à jour automatique activée ou désactivée peuvent être utilisées pour activer la mise à jour automatique.

Pour les administrateurs et les installations d’entreprise ou les utilisateurs finaux qui souhaitent installer cette mise à jour de sécurité manuellement (y compris les clients qui n’ont pas activé la mise à jour automatique), Microsoft recommande aux clients d’appliquer la mise à jour au plus tôt à l’aide du logiciel de gestion des mises à jour, ou en case activée pour les mises à jour à l’aide du service Microsoft Update. Les mises à jour sont également disponibles via les liens de téléchargement dans la table Logicielle affectée plus loin dans ce bulletin.

Pour obtenir des conseils supplémentaires, consultez la section Outils et conseils de détection et de déploiement dans ce bulletin.

Article de la base de connaissances

• Article de la base de connaissances : 3000869
• Informations sur le fichier : Oui
• Hachages SHA1/SHA2 : Oui
• Problèmes connus : Aucun

Logiciel affecté

Les versions ou éditions logicielles suivantes sont affectées. Les versions ou éditions qui ne sont pas répertoriées sont passées par leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

Logiciel affecté 

Faq sur la mise à jour

J’utilise une version plus ancienne du logiciel abordé dans ce bulletin de sécurité. Que dois-je faire ?
Le logiciel concerné répertorié dans ce bulletin a été testé pour déterminer quelles versions sont affectées. D’autres versions sont passées au-delà de leur cycle de vie de support. Pour plus d’informations sur le cycle de vie des produits, consultez le site web Support Microsoft cycle de vie.

Il doit s’agir d’une priorité pour les clients qui ont des versions antérieures du logiciel à migrer vers des versions prises en charge afin d’éviter toute exposition potentielle aux vulnérabilités. Pour déterminer le cycle de vie de prise en charge de votre version logicielle, consultez Sélectionner un produit pour les informations de cycle de vie. Pour plus d’informations sur les Service Packs pour ces versions logicielles, consultez La politique de support du cycle de vie service Pack.

Les clients qui ont besoin d’un support personnalisé pour les logiciels plus anciens doivent contacter leur représentant de l’équipe de compte Microsoft, leur responsable de compte technique ou le représentant partenaire Microsoft approprié pour les options de support personnalisé. Les clients sans contrat Alliance, Premier ou Autorisé peuvent contacter leur bureau de vente Microsoft local. Pour obtenir des informations de contact, consultez le site web Microsoft Worldwide Information , puis sélectionnez le pays dans la liste pour afficher la liste des numéros de téléphone. Lorsque vous appelez, demandez à parler avec le directeur commercial premier support local. Pour plus d’informations, consultez le FAQ Support Microsoft politique de cycle de vie.

Évaluations de gravité et identificateurs de vulnérabilité

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin d’octobre. Pour plus d’informations, consultez Microsoft Exploitability Index.

Vulnérabilité d’exécution de code distant Windows OLE - CVE-2014-4114

Une vulnérabilité existe dans Windows OLE qui peut autoriser l’exécution de code distant si un utilisateur ouvre un fichier qui contient un objet OLE spécialement conçu. Un attaquant qui a réussi à exploiter cette vulnérabilité pourrait obtenir les mêmes droits d’utilisateur que l’utilisateur connecté. Si l’utilisateur actuel est connecté avec des droits d’utilisateur administratifs, un attaquant peut alors installer des programmes ; afficher, modifier ou supprimer des données ; ou créez des comptes avec des droits d’utilisateur complets. Les clients dont les comptes sont configurés pour avoir moins de droits d’utilisateur sur le système peuvent être moins affectés que les utilisateurs qui opèrent avec des droits d’utilisateur administratifs.

Pour afficher cette vulnérabilité comme entrée standard dans la liste Des vulnérabilités et des expositions courantes, consultez CVE-2014-4114. 

Facteurs d’atténuation

L’atténuation fait référence à un paramètre, à une configuration courante ou à une meilleure pratique générale, existant dans un état par défaut, qui peut réduire la gravité de l’exploitation d’une vulnérabilité. Les facteurs d’atténuation suivants peuvent être utiles dans votre situation :

• Un attaquant qui a réussi à exploiter cette vulnérabilité pourrait obtenir les mêmes droits d’utilisateur que l’utilisateur actuel. Les clients dont les comptes sont configurés pour avoir moins de droits d’utilisateur sur le système peuvent être moins affectés que ceux qui opèrent avec des droits d’utilisateur administratifs.
• Dans un scénario d’attaque basé sur le web, un attaquant peut héberger une page web qui contient un fichier Bureau spécialement conçu qui est utilisé pour tenter d’exploiter cette vulnérabilité. Toutefois, dans tous les cas, un attaquant n’aurait aucun moyen de forcer les utilisateurs à visiter ces sites web. Au lieu de cela, un attaquant aurait à convaincre les utilisateurs de visiter le site web, généralement en les obtenant pour cliquer sur un lien dans un e-mail ou un message Instantané Messenger qui amène les utilisateurs au site web de l’attaquant.
• Les fichiers provenant d’Internet et d’autres emplacements potentiellement dangereux peuvent contenir des virus, des vers ou d’autres types de programmes malveillants susceptibles de nuire à votre ordinateur. Pour protéger votre ordinateur, les fichiers de ces emplacements potentiellement dangereux sont ouverts en mode protégé. En utilisant la vue protégée, vous pouvez lire un fichier et voir son contenu tout en réduisant les risques. La vue protégée est activée par défaut.  

Solutions de contournement

Les solutions de contournement font référence à un paramètre ou à une modification de configuration qui ne corrige pas la vulnérabilité sous-jacente, mais qui permet de bloquer les vecteurs d’attaque connus avant d’appliquer la mise à jour. Microsoft a testé les solutions de contournement et les états suivants dans la discussion si une solution de contournement réduit les fonctionnalités :

• Désactiver le service WebClient
  Pour désactiver le service WebClient sur Windows Vista, Windows 7, Windows Server 2008 et Windows Server 2012, procédez comme suit :

  1. Cliquez sur Démarrer, sur Exécuter, tapez Services.msc , puis cliquez sur OK.
  2. Cliquez avec le bouton droit sur WebClient , puis sélectionnez Propriétés.
  3. Remplacez le typede démarrage par Désactivé. Si le service est en cours d’exécution, cliquez sur Arrêter.
  4. Cliquez sur OK, puis quittez le console de gestion Services.   

Pour désactiver le service WebClient sur Windows 8 et 8.1 :

1. Appuyez sur la touche de logo Windows + S pour ouvrir la recherche.
2. Tapez Services.msc , puis cliquez sur OK.
3. Cliquez avec le bouton droit sur WebClient , puis sélectionnez Propriétés.
4. Remplacez le typede démarrage par Désactivé. Si le service est en cours d’exécution, cliquez sur Arrêter.
5. Cliquez sur OK, puis quittez le console de gestion Services.

Impact de la solution de contournement. Lorsque le service WebClient est désactivé, les requêtes Web Distributed Authoring and Versioning (WebDAV) ne sont pas transmises. En outre, tous les services qui dépendent explicitement du service client web ne démarrent pas et un message d’erreur est enregistré dans le journal système. Par exemple, les partages WebDAV sont inaccessibles à partir de l’ordinateur client.

Comment annuler la solution de contournement.

Pour activer le service WebClient sur Windows Vista, Windows 7, Windows Server 2008 et Windows Server 2012, procédez comme suit :

1. Cliquez sur Démarrer, sur Exécuter, tapez Services.msc , puis cliquez sur OK.
2. Cliquez avec le bouton droit sur WebClient , puis sélectionnez Propriétés.
3. Remplacez le typede démarrage par Manuel. Si le service n’est pas en cours d’exécution, cliquez sur Démarrer.
4. Cliquez sur OK, puis quittez le console de gestion Services.   

Pour activer le service WebClient sur Windows 8 et 8.1 :

1. Appuyez sur la touche de logo Windows + S pour ouvrir la recherche.
2. Tapez Services.msc , puis cliquez sur OK.
3. Cliquez avec le bouton droit sur WebClient , puis sélectionnez Propriétés.
4. Remplacez le typede démarrage par Manuel. Si le service n’est pas en cours d’exécution, cliquez sur Démarrer.
5. Cliquez sur OK, puis quittez le console de gestion Services.

• Bloquer les ports TCP 139 et 445
  Ces ports TCP peuvent être utilisés pour lancer une connexion avec le composant concerné. Les blocages sur le pare-feu d’entreprise, tant entrant que sortant, empêchent les systèmes qui se trouvent derrière ce pare-feu d’exploiter cette vulnérabilité. Nous vous recommandons de bloquer toutes les communications entrantes non sollicitées à partir d’Internet pour empêcher les attaques susceptibles d’utiliser d’autres ports. Pour plus d’informations sur les ports, visitez le site web suivant, les affectations de ports TCP et UDP. Pour plus d’informations sur le Pare-feu Windows, visitez le site web suivant, guide pratique pour configurer le pare-feu Windows sur un seul ordinateur.

  Impact de la solution de contournement.

  Les ports TCP 139 et 445 sont utilisés pour des services supplémentaires, notamment common Internet File System (CIFS), DNS Administration istration, sessions de service NetBT, sessions de partage d’imprimantes et bien plus encore. La désactivation de ces ports peut affecter les fonctionnalités de ces services.

• Bloquer le lancement d’exécutables via des fichiers d’informations d’installation
  Fichiers d’informations d’installation (. L’extension de fichier INF) est des scripts qui prennent en charge le lancement d’exécutables à l’aide d’un verbe « install ». Le Registre système stocke une instruction qui permet d’exécuter le verbe d’installation spécifié dans . Fichiers INF ; en supprimant l’instruction stockée, elle bloque les méthodes d’attaque potentielles de l’utilisation. Fichiers INF pour fournir du code malveillant.

  Notez que l’utilisation incorrecte de l’Éditeur de Registre peut entraîner de graves problèmes qui peuvent nécessiter la réinstallation de votre système d’exploitation. Microsoft ne peut pas garantir que les problèmes résultant d'une utilisation incorrecte de l'éditeur du Registre puissent être résolus. Son utilisation est sous votre entière responsabilité. Pour plus d’informations sur la modification du Registre, consultez la rubrique d’aide « Modification des clés et des valeurs » dans l’Éditeur de Registre (Regedit.exe) ou affichez les rubriques d’aide « Ajouter et supprimer des informations dans le Registre » et « Modifier les données du Registre » dans Regedt32.exe.

  Instructions pour modifier le Registre et supprimer le verbe « Installer » dans Windows Vista, Windows 7, Windows Server 2008 et Windows Server 2012 :

  1. Cliquez sur Démarrer, cliquez sur Exécuter, tapez Regedit dans la zone Ouvrir , puis cliquez sur OK.
  2. Recherchez, puis sélectionnez la clé de Registre suivante : HKEY_CLASSES_ROOT\inffile\shell\Install\command
  3. Sauvegardez le Registre avant d’apporter des modifications ; Cliquez avec le bouton droit sur la commande nom de clé de Registre, puis sélectionnez Exporter.
  4. Dans la boîte de dialogue Exporter le fichier de Registre, tapez inffile_install_configuration_backup.reg, puis cliquez sur Enregistrer.
  5. Cliquez avec le bouton droit sur la commande nom de clé de Registre, puis sélectionnez Supprimer.
  6. Cliquez sur Oui pour confirmer la suppression.  

Instructions pour modifier le Registre et supprimer le verbe « Installer » dans Windows 8 et Windows 8.1 :

1. Appuyez sur la touche de logo Windows + S pour ouvrir la recherche.
2. Tapez Regedit dans la zone Ouvrir , puis cliquez sur OK.
3. Recherchez, puis sélectionnez la clé de Registre suivante : HKEY_CLASSES_ROOT\inffile\shell\Install\command
4. Sauvegardez le Registre avant d’apporter des modifications ; Cliquez avec le bouton droit sur la commande nom de clé de Registre, puis sélectionnez Exporter.
5. Dans la boîte de dialogue Exporter le fichier de Registre, tapez inffile_install_configuration_backup.reg, puis cliquez sur Enregistrer.
6. Cliquez avec le bouton droit sur la commande nom de clé de Registre, puis sélectionnez Supprimer.
7. Cliquez sur Oui pour confirmer la suppression.

Impact de la solution de contournement.

Applications qui s’appuient sur l’utilisation de . Les fichiers INF pour exécuter une application d’installation peuvent ne pas s’exécuter automatiquement.

Comment annuler la solution de contournement.

Importez la copie de sauvegarde précédemment enregistrée du Registre :

1. Recherchez le fichier précédent du Registre exporté précédemment inffile_install_configuration_backup.reg.
2. Cliquez avec le bouton droit sur les données exportées, puis sélectionnez Fusionner.
3. Cliquez sur Oui pour confirmer l’importation des données du Registre de sauvegarde, puis cliquez sur OK.

FAQ

Quelle est l’étendue de la vulnérabilité ?
Il s’agit d’une vulnérabilité d’exécution de code à distance dans le contexte de l’utilisateur actuel.

Quelles sont les causes de la vulnérabilité ?
Cette vulnérabilité est provoquée lorsqu’un utilisateur télécharge ou reçoit, puis ouvre un fichier Microsoft Bureau spécialement conçu qui contient des objets OLE.

Qu’est-ce que OLE ?
OLE (Liaison d’objets et incorporation) il est une technologie qui permet aux applications de partager des données et des fonctionnalités, telles que la possibilité de créer et de modifier des données composées. Les données composées sont des données qui contiennent des informations dans plusieurs formats. Par exemple, un document Microsoft Word composé peut contenir une feuille de calcul Microsoft Excel incorporée (ou objet OLE). Cette technologie permet également une modification sur place ; Au lieu de lancer une nouvelle application lorsqu’un objet OLE est activé, l’utilisateur voit plutôt un nouvel ensemble d’éléments de menu à l’intérieur de son application existante. Pour plus d’informations sur OLE, consultez Documents composés.

Quelle est la différence entre les fichiers Microsoft PowerPoint Presentation et PowerPoint Show ?
Fichiers de données De présentation Microsoft PowerPoint (.PPTX ou .PPT extensions de fichiers) généralement ouverts en mode édition. Microsoft PowerPoint Afficher les fichiers de données (. PPSX ou . Extensions de fichier PPS) généralement ouvertes en mode présentation. PowerPoint Afficher les fichiers de données peut être partagé avec les utilisateurs qui n’ont pas l’intention de modifier les données.

Qu’est-ce qu’un attaquant peut utiliser la vulnérabilité pour faire ?
Un attaquant qui a réussi à exploiter cette vulnérabilité peut exécuter du code arbitraire dans le contexte de l’utilisateur actuel. Si l’utilisateur actuel est connecté avec des droits d’utilisateur administratifs, un attaquant peut alors installer des programmes ; afficher, modifier ou supprimer des données ; ou créez des comptes avec des droits d’utilisateur complets. Les clients dont les comptes sont configurés pour avoir moins de droits d’utilisateur sur le système peuvent être moins affectés que les utilisateurs qui opèrent avec des droits d’utilisateur administratifs.

Comment un attaquant pourrait-il exploiter la vulnérabilité ?
L’interaction utilisateur est nécessaire pour exploiter cette vulnérabilité. Pour qu’une attaque réussisse en envoyant un e-mail à un utilisateur connecté localement, l’utilisateur doit ouvrir une pièce jointe contenant un objet OLE spécialement conçu. De nombreux types différents de documents joints peuvent contenir les objets OLE affectés. Tous les types de fichiers Bureau ainsi que de nombreux autres types de fichiers tiers peuvent contenir un objet OLE malveillant.

Dans un scénario d’attaque par e-mail, un attaquant peut exploiter la vulnérabilité en envoyant un fichier spécialement conçu à l’utilisateur et en convançant l’utilisateur à ouvrir le fichier.

Dans un scénario d’attaque web, un attaquant doit héberger un site web qui contient un fichier PowerPoint utilisé pour tenter d’exploiter cette vulnérabilité. En outre, les sites web et sites web compromis qui acceptent ou hébergent du contenu fourni par l’utilisateur peuvent contenir du contenu spécialement conçu qui pourrait exploiter cette vulnérabilité. Un attaquant n’aurait aucun moyen de forcer les utilisateurs à visiter un site web malveillant. Au lieu de cela, un attaquant aurait à les persuader de visiter le site web, généralement en les obtenant pour cliquer sur un lien qui les emmène sur le site de l’attaquant.

Quels systèmes sont principalement exposés à la vulnérabilité ?
Les serveurs et clients Microsoft Windows qui ouvrent des fichiers de données Microsoft Bureau spécialement conçus qui contiennent des objets OLE sont principalement à risque.

Que fait la mise à jour ?
Cette mise à jour résout les vulnérabilités en modifiant la façon dont les systèmes d’exploitation affectés valident l’utilisation de la mémoire lorsque des objets OLE sont accessibles.

Quand ce bulletin de sécurité a été émis, cette vulnérabilité a-t-elle été divulguée publiquement ?
Non. Microsoft a reçu des informations sur ces vulnérabilités par le biais d’une divulgation coordonnée des vulnérabilités.

Quand ce bulletin de sécurité a été émis, Microsoft a-t-il reçu des rapports indiquant que cette vulnérabilité était exploitée ?
Oui. Nous sommes conscients des attaques limitées et ciblées impliquant des fichiers Microsoft PowerPoint 2007. Présentation Microsoft PowerPoint (.PPTX ou extensions de fichier .PPT) et PowerPoint Show (. PPSX ou . Les fichiers de données PPS peuvent être utilisés dans un scénario d’attaque ; si les fichiers PowerPoint Show sont utilisés dans un scénario d’attaque, le code arbitraire peut être installé sans invite de sécurité UAC (User Account Control ).

Outils et conseils de détection et de déploiement

Plusieurs ressources sont disponibles pour aider les administrateurs à déployer des mises à jour de sécurité. 

• Microsoft Baseline Security Analyzer (Mo SA) permet aux administrateurs d’analyser les systèmes locaux et distants pour détecter les mises à jour de sécurité manquantes et les configurations incorrectes de sécurité courantes. 
• Windows Server Update Services (WSUS), Systems Management Server (SMS) et System Center Configuration Manager aident les administrateurs à distribuer les mises à jour de sécurité. 
• Les composants de l’évaluateur de compatibilité de mise à jour inclus avec la compatibilité des applications Shared Computer Toolkit facilitent le test et la validation des mises à jour Windows sur les applications installées. 

Pour plus d’informations sur ces outils et d’autres outils disponibles, consultez Outils de sécurité pour les professionnels de l’informatique. 

Déploiement des mises à jour de sécurité

Windows Vista (toutes les éditions)

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité pour ce logiciel.

Windows Server 2008 (toutes éditions)

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité pour ce logiciel.

Windows 7 (toutes les éditions)

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité pour ce logiciel.

Windows Server 2008 R2 (toutes éditions)

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité pour ce logiciel.

Windows 8 et Windows 8.1 (toutes les éditions)

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité pour ce logiciel.

Windows Server 2012 et Windows Server 2012 R2 (toutes les éditions)

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité pour ce logiciel.

Windows RT et Windows RT 8.1 (toutes les éditions)

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité pour ce logiciel.

Remerciements

Microsoft remercie ce qui suit pour nous aider à protéger les clients :

• Partenaires iSIGHT et chercheurs d’JAI pour signaler la vulnérabilité d’exécution de code à distance Windows OLE (CVE-2014-4114)

Autres informations

Programme Microsoft Active Protections (MAPP)

Pour améliorer les protections de sécurité pour les clients, Microsoft fournit des informations sur les vulnérabilités aux principaux fournisseurs de logiciels de sécurité avant chaque version mensuelle de la mise à jour de sécurité. Les fournisseurs de logiciels de sécurité peuvent ensuite utiliser ces informations de vulnérabilité pour fournir des protections mises à jour aux clients via leurs logiciels ou appareils de sécurité, tels que les systèmes antivirus, les systèmes de détection d’intrusion basés sur le réseau ou les systèmes de prévention des intrusions basés sur l’hôte. Pour déterminer si les protections actives sont disponibles auprès des fournisseurs de logiciels de sécurité, accédez aux sites web de protection actifs fournis par les partenaires du programme, répertoriés dans les partenaires microsoft Active Protections Program (MAPP).

Support

Comment obtenir de l’aide et de la prise en charge de cette mise à jour de sécurité

• Aide sur l’installation des mises à jour : Prise en charge de Microsoft Update
• Solutions de sécurité pour les professionnels de l’informatique : Résolution des problèmes et support de techNet Security
• Aider à protéger votre ordinateur exécutant Windows contre les virus et les programmes malveillants : Solution antivirus et Security Center
• Support local selon votre pays : Support international

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (14 octobre 2014) : Bulletin publié.
• V1.1 (16 octobre 2014) : correction des entrées Mises à jour remplacées dans la table Logicielle affectée pour Windows 7 et Windows 2008 R2. Il s’agit d’une modification d’information uniquement. Les clients qui ont déjà installé la mise à jour n’ont pas besoin d’effectuer d’action.

Page générée 2014-11-13 10 :50Z-08 :00.