Bulletin de sécurité Microsoft MS15-093 - Critique

Mise à jour de sécurité pour Internet Explorer (3088903)

Publication : 18 août 2015 | Mise à jour : 20 août 2015

Version : 1.1

Résumé

Cette mise à jour de sécurité résout une vulnérabilité dans Internet Explorer. La vulnérabilité peut autoriser l’exécution de code à distance si un utilisateur affiche une page web spécialement conçue à l’aide d’Internet Explorer. Un attaquant qui a réussi à exploiter cette vulnérabilité pourrait obtenir les mêmes droits d’utilisateur que l’utilisateur actuel. Les clients dont les comptes sont configurés pour avoir moins de droits d’utilisateur sur le système peuvent être moins affectés que ceux qui opèrent avec des droits d’utilisateur administratifs.

Cette mise à jour de sécurité est évaluée critique pour Internet Explorer 7 (IE 7), Internet Explorer 8 (IE 8), Internet Explorer 9 (IE 9), Internet Explorer 10 (IE 10) et Internet Explorer 11 (IE 11) sur les clients Windows affectés, et Modéré pour Internet Explorer 7 (IE 7), Internet Explorer 8 (IE 8), Internet Explorer 9 (IE 9), Internet Explorer 10 (IE 10), et Internet Explorer 11 (IE 11) sur les serveurs Windows affectés. Pour plus d’informations, consultez la section Logiciels affectés.

La mise à jour de sécurité résout la vulnérabilité en modifiant la façon dont Internet Explorer gère les objets en mémoire.

Pour plus d’informations sur la vulnérabilité, consultez la section Informations sur les vulnérabilités.

Pour plus d’informations sur cette mise à jour, consultez l’article de la Base de connaissances Microsoft 3088903.

Logiciel affecté

Les versions ou éditions logicielles suivantes sont affectées. Les versions ou éditions qui ne sont pas répertoriées sont passées par leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

Logiciel affecté 

^[1]Cette mise à jour est disponible via Windows Update.

^[2]La mise à jour de Windows 10 est cumulative. En plus de contenir des mises à jour non liées à la sécurité, il contient également tous les correctifs de sécurité pour toutes les vulnérabilités affectées par Windows 10 avec la version de sécurité de ce mois-ci. Consultez l’article de la Base de connaissances Microsoft 3081444 pour plus d’informations et télécharger des liens.

Notez que Windows Server Technical Preview est affecté. Les clients exécutant ce système d’exploitation sont encouragés à appliquer la mise à jour, disponible via Windows Update.

Évaluations de gravité et identificateurs de vulnérabilité

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin d’août.

Lorsqu’elles sont spécifiées dans la table Évaluation de gravité et impact, les valeurs critiques, importantes et modérées indiquent des évaluations de gravité. Pour plus d’informations, consultez Le système d’évaluation de gravité du bulletin de sécurité. Reportez-vous à la clé suivante pour les abréviations utilisées dans le tableau pour indiquer l’impact maximal :

Faq sur la mise à jour

La mise à jour 3081444-elle une mise à jour de sécurité cumulative pour Internet Explorer 11 ?
Oui. La mise à jour de sécurité 3081444 est une mise à jour de sécurité cumulative pour les utilisateurs exécutant Internet Explorer 11 sur Windows 10.

La mise à jour 3087985-elle une mise à jour de sécurité cumulative pour Internet Explorer ?
Non. La mise à jour de sécurité 3087985 n’est pas une mise à jour cumulative.

Existe-t-il des conditions préalables pour la mise à jour 3087985 ?
Oui. Les clients exécutant Internet Explorer 7, Internet Explorer 8, Internet Explorer 9, Internet Explorer 10 ou Internet Explorer 11 sur Windows 7, Windows Server 2008 R2, Windows 8.1, Windows Server 2012 R2 ou Windows RT 8.1 doivent d’abord installer la mise à jour 3078071 publiée le 11 août 2015 avant d’installer la mise à jour 3087985.

Remarque pour les clients du Centre de téléchargement :

Si vous téléchargez et installez les mises à jour manuellement, vous devez d’abord installer les 3078071 de mise à jour avant d’installer le 3087985 de mise à jour. L’échec du suivi de l’ordre d’installation peut entraîner une dégradation des fonctionnalités.

Informations sur la vulnérabilité

Vulnérabilité d’altération de la mémoire - CVE-2015-2502

Une vulnérabilité d’exécution de code à distance existe quand Internet Explorer accède incorrectement aux objets en mémoire. Cette vulnérabilité peut endommager la mémoire de telle sorte qu’un attaquant puisse exécuter du code arbitraire dans le contexte de l’utilisateur actuel.

Un attaquant peut héberger un site web spécialement conçu pour exploiter cette vulnérabilité via Internet Explorer, puis convaincre un utilisateur d’afficher le site web. L’attaquant peut également tirer parti des sites web et sites web compromis qui acceptent ou hébergent du contenu ou des publicités fournis par l’utilisateur en ajoutant du contenu spécialement conçu qui pourrait exploiter cette vulnérabilité. Dans tous les cas, toutefois, un attaquant n’aurait aucun moyen de forcer les utilisateurs à afficher le contenu contrôlé par l’attaquant. Au lieu de cela, un attaquant doit convaincre les utilisateurs de prendre des mesures, généralement en les obtenant pour cliquer sur un lien dans un messager instantané ou un message électronique qui amène les utilisateurs sur le site web de l’attaquant, ou en les obtenant pour ouvrir une pièce jointe envoyée par e-mail.

Un attaquant qui a réussi à exploiter cette vulnérabilité pourrait obtenir les mêmes droits d’utilisateur que l’utilisateur actuel. Si l’utilisateur actuel est connecté avec des droits d’utilisateur administratifs, un attaquant qui a réussi à exploiter cette vulnérabilité peut prendre le contrôle complet d’un système affecté. Un attaquant peut alors installer des programmes, afficher, modifier ou supprimer des données, ou créer des comptes avec des droits d’utilisateur complets. Les systèmes dans lesquels Internet Explorer est utilisé fréquemment, tels que les stations de travail ou les serveurs terminal, sont les plus exposés à cette vulnérabilité.

La mise à jour résout la vulnérabilité en modifiant la façon dont Internet Explorer gère les objets en mémoire. Le tableau suivant contient des liens vers l’entrée standard pour chaque vulnérabilité dans la liste Des vulnérabilités et des expositions courantes :

Facteurs d’atténuation

Microsoft n’a identifié aucun facteur d’atténuation de la vulnérabilité.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour la vulnérabilité.

FAQ

J’exécute Internet Explorer sur Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 ou Windows Server 2012 R2. Cela atténue-t-il ces vulnérabilités ? 
Oui. Par défaut, Internet Explorer sur Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 et Windows Server 2012 R2 s’exécute en mode restreint appelé Configuration de sécurité renforcée. La configuration de sécurité améliorée est un groupe de paramètres préconfigurés dans Internet Explorer qui peuvent réduire la probabilité qu’un utilisateur ou un administrateur télécharge et exécute du contenu web spécialement conçu sur un serveur. Il s’agit d’un facteur d’atténuation pour les sites web que vous n’avez pas ajoutés à la zone sites approuvés Internet Explorer.

EMET peut-il aider à atténuer les attaques qui tentent d’exploiter ces vulnérabilités ? 
Oui. L’expérience d’atténuation améliorée Shared Computer Toolkit (EMET) permet aux utilisateurs de gérer les technologies d’atténuation de la sécurité qui permettent aux attaquants d’exploiter les vulnérabilités de corruption de mémoire dans un logiciel donné. EMET peut aider à atténuer les attaques qui tentent d’exploiter ces vulnérabilités dans Internet Explorer sur les systèmes où EMET est installé et configuré pour fonctionner avec Internet Explorer.

Pour plus d’informations sur EMET, consultez l’expérience d’atténuation améliorée Shared Computer Toolkit.

Déploiement des mises à jour de sécurité

Pour plus d’informations sur le déploiement des mises à jour de sécurité, consultez l’article de la Base de connaissances Microsoft référencé dans le résumé exécutif.

Remerciements

Microsoft reconnaît les efforts de ceux de la communauté de sécurité qui nous aident à protéger les clients par le biais d’une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez accusés de réception.

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (18 août 2015) : Bulletin publié.
• V1.1 (20 août 2015) : Bulletin révisé pour annoncer une modification de détection dans la mise à jour 3087985 pour Internet Explorer. Il s’agit d’une modification de détection uniquement. Les clients qui ont déjà mis à jour leurs systèmes n’ont pas besoin d’agir.

Page générée 2015-08-20 15 :40Z-07 :00.