Bulletin de sécurité Microsoft MS15-048 - Important

Les vulnérabilités dans .NET Framework peuvent autoriser l’élévation de privilèges (3057134)

Publication : 12 mai 2015 | Mise à jour : 17 juin 2015

Version : 1.1

Résumé

Cette mise à jour de sécurité résout les vulnérabilités dans Microsoft .NET Framework. Les vulnérabilités les plus graves peuvent autoriser l’élévation de privilèges si un utilisateur installe une application d’approbation partielle spécialement conçue.

Cette mise à jour de sécurité est évaluée comme importante pour Microsoft .NET Framework 1.1 Service Pack 1, Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.5, Microsoft .NET Framework 3.5.1, Microsoft .NET Framework 4, Microsoft .NET Framework 4.5, Microsoft .NET Framework 4.5.1 et Microsoft .NET Framework 4.5.2 sur les versions affectées de Microsoft Windows. Pour plus d’informations, consultez la section Logiciels affectés.

Les mises à jour de sécurité résolvent les vulnérabilités en corrigeant la façon dont .NET Framework déchiffre les données XML et gère les objets en mémoire. Pour plus d’informations sur la vulnérabilité, consultez la sous-section Questions fréquentes (FAQ) sur la vulnérabilité spécifique.

Pour plus d’informations sur cette mise à jour, consultez l’article de la Base de connaissances Microsoft 3057134.

Logiciel affecté

Les versions ou éditions logicielles suivantes sont affectées. Les versions ou éditions qui ne sont pas répertoriées sont passées par leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

^[1]. Profil client NET Framework 4 et .NET Framework 4 affecté.

^[2]Cette mise à jour est disponible uniquement via Windows Update .

Faq sur la mise à jour

Les systèmes qui exécutent des applications .NET Framework partiellement approuvées sont exposés à l’une des vulnérabilités décrites dans ce bulletin (vulnérabilité d’élévation de privilège Windows Forms - CVE-2015-1673). Où puis-je accéder à plus d’informations ?

Pour en savoir plus sur les mesures de sécurité d’accès au code et les bonnes pratiques relatives aux applications partiellement approuvées, consultez les ressources Microsoft Developer Network suivantes :

• Sécurité d’accès du code
• Compatibilité et migration des stratégies de sécurité d’accès au code
• Guide pratique pour exécuter du code d’un niveau de confiance partiel dans un bac à sable (sandbox)

Comment faire déterminer quelle version de Microsoft .NET Framework est installée ?
Vous pouvez installer et exécuter plusieurs versions de .NET Framework sur un système et installer les versions dans n’importe quel ordre. Pour plus d’informations, consultez l’article 318785 de la Base de connaissances Microsoft.

Quelle est la différence entre le profil client .NET Framework 4 et .NET Framework 4 ?
Les packages redistribuables .NET Framework version 4 sont disponibles dans deux profils : .NET Framework 4 et .NET Framework 4 Client Profile. Le profil client .NET Framework 4 est un sous-ensemble du profil .NET Framework 4 optimisé pour les applications clientes. Il fournit des fonctionnalités pour la plupart des applications clientes, notamment windows Presentation Foundation (WPF), Windows Forms, Windows Communication Foundation (WCF) et les fonctionnalités ClickOnce. Cela permet un déploiement plus rapide et un package d’installation plus petit pour les applications qui ciblent le profil client .NET Framework 4. Pour plus d’informations, consultez l’article MSDN, .NET Framework Client Profile. 

Il existe plusieurs packages de mise à jour disponibles pour certains des logiciels affectés. Dois-je installer toutes les mises à jour répertoriées dans la table Software affectée pour le logiciel ?
Oui. Les clients doivent appliquer toutes les mises à jour proposées pour le logiciel installé sur leurs systèmes.

Dois-je installer ces mises à jour de sécurité dans une séquence particulière ?
Non. Plusieurs mises à jour pour un système donné peuvent être appliquées dans n’importe quelle séquence.

Évaluations de gravité et identificateurs de vulnérabilité

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin de mai.

^[1]. Profil client NET Framework 4 et .NET Framework 4 affecté.

Informations sur la vulnérabilité

Vulnérabilité de déni de service de déchiffrement .NET XML - CVE-2015-1672

Une vulnérabilité de déni de service existe dans Microsoft .NET Framework qui pourrait permettre à un attaquant non authentifié de dégrader les performances d’un . Site web avec NET et interruption de la disponibilité des applications qui utilisent Microsoft .NET Framework. La vulnérabilité existe lorsque Microsoft .NET Framework tente de déchiffrer certaines données XML spécialement conçues.

Pour exploiter cette vulnérabilité, un attaquant peut envoyer des données XML spécialement conçues à une application .NET avec l’intention de provoquer la récursivité du traitement qui conduit à la condition de déni de service. Les serveurs exécutant des versions affectées de Microsoft .NET Framework sont principalement exposés à cette vulnérabilité. La mise à jour résout la vulnérabilité en corrigeant la façon dont .NET Framework déchiffre les données XML.

Microsoft a reçu des informations sur cette vulnérabilité par le biais d’une divulgation coordonnée des vulnérabilités. Lorsque ce bulletin de sécurité a été émis, Microsoft n’avait reçu aucune information pour indiquer que cette vulnérabilité avait été utilisée publiquement pour attaquer les clients.

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour cette vulnérabilité.

Vulnérabilité d’élévation de privilèges Windows Forms - CVE-2015-1673

Une vulnérabilité d’élévation de privilèges existe dans Microsoft .NET Framework qui est provoquée quand . Les bibliothèques Windows Forms (WinForms) de NET gèrent incorrectement les objets en mémoire. Un attaquant qui a réussi à exploiter la vulnérabilité peut prendre le contrôle complet d’un système affecté. Un attaquant peut alors installer des programmes, afficher, modifier ou supprimer des données, ou créer des comptes avec des droits d’utilisateur complets. Les utilisateurs dont les comptes sont configurés avec des droits restreints sur le système sont moins vulnérables que les utilisateurs qui ont des droits administratifs.

Pour exploiter cette vulnérabilité, un attaquant peut utiliser des tactiques d’ingénierie sociale pour attirer un utilisateur dans l’installation d’une application d’approbation partielle spécialement conçue. Les stations de travail et les serveurs qui exécutent des applications .NET Framework à confiance partielle sont principalement exposés à cette vulnérabilité. La mise à jour résout la vulnérabilité en corrigeant la façon dont .NET Framework gère les objets en mémoire.

Microsoft a reçu des informations sur cette vulnérabilité par le biais d’une divulgation coordonnée des vulnérabilités. Lorsque ce bulletin de sécurité a été émis, Microsoft n’avait reçu aucune information pour indiquer que cette vulnérabilité avait été utilisée publiquement pour attaquer les clients.

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour cette vulnérabilité.

Déploiement des mises à jour de sécurité

Pour plus d’informations sur le déploiement des mises à jour de sécurité, consultez l’article de la Base de connaissances Microsoft référencé dans le résumé exécutif.

Remerciements

Microsoft reconnaît les efforts de ceux de la communauté de sécurité qui nous aident à protéger les clients par le biais d’une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez accusés de réception.  

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (12 mai 2015) : Bulletin publié.
• V1.1 (17 juin 2015) : correction du remplacement du bulletin pour la mise à jour 3035488 pour .NET Framework 2.0 sur toutes les éditions affectées de Windows Server 2003 Service Pack 2.

Page générée 2015-06-16 10 :33Z-07 :00.