Bulletin de sécurité Microsoft MS14-042 - Modéré

La vulnérabilité dans Microsoft Service Bus peut autoriser le déni de service (2972621)

Publication : 8 juillet 2014 | Mise à jour : 14 octobre 2014

Version : 2.0

Informations générales

Résumé

Cette mise à jour de sécurité résout une vulnérabilité divulguée publiquement dans Microsoft Service Bus pour Windows Server. La vulnérabilité peut autoriser le déni de service si un attaquant authentifié à distance crée et exécute un programme qui envoie une séquence de messages AMQP (Advanced Message Queuing Protocol) spécialement conçus au système cible. Microsoft Service Bus pour Windows Server n’est fourni avec aucun système d’exploitation Microsoft. Pour qu’un système affecté soit vulnérable, Microsoft Service Bus doit d’abord être téléchargé, installé et configuré, puis ses détails de configuration (certificat de batterie) partagés avec d’autres utilisateurs.

Cette mise à jour de sécurité est évaluée modéré pour Microsoft Service Bus 1.1 lorsqu’elle est installée sur les éditions affectées de Windows Server 2008 R2, Windows Server 2012 et Windows Server 2012 R2. Pour plus d’informations, consultez la section Relative aux logiciels affectés et non affectés.

La mise à jour de sécurité résout la vulnérabilité en modifiant la façon dont Service Bus pour Windows Server gère les messages AMQP. Pour plus d’informations sur la vulnérabilité, consultez la sous-section Questions fréquentes (FAQ) pour connaître la vulnérabilité spécifique dans ce bulletin.

Recommandation. La plupart des clients ont la mise à jour automatique activée et n’ont pas besoin d’effectuer d’action, car cette mise à jour de sécurité est téléchargée et installée automatiquement. Pour plus d’informations sur les options de configuration spécifiques dans la mise à jour automatique, consultez l’article de la Base de connaissances Microsoft 294871. Pour les clients qui n’ont pas activé la mise à jour automatique, les étapes de la mise à jour automatique activée ou désactivée peuvent être utilisées pour activer la mise à jour automatique.

Pour les administrateurs et les installations d’entreprise ou les utilisateurs finaux qui souhaitent installer cette mise à jour de sécurité manuellement (y compris les clients qui n’ont pas activé la mise à jour automatique), Microsoft recommande aux clients d’appliquer la mise à jour de sécurité à l’aide du logiciel de gestion des mises à jour, ou en case activée pour les mises à jour à l’aide du service Microsoft Update. Les mises à jour sont également disponibles via les liens de téléchargement dans la table Logicielle affectée plus loin dans ce bulletin.

Pour obtenir des conseils supplémentaires, consultez la section Outils et conseils de détection et de déploiement dans ce bulletin.

Article de la base de connaissances

• Article de la Base de connaissances : 2972621
• Informations sur le fichier : Oui
• Hachages SHA1/SHA2 : Oui
• Problèmes connus : Oui

Logiciels affectés et non affectés

Le logiciel suivant a été testé pour déterminer quelles versions ou éditions sont affectées. D’autres versions ou éditions dépassent leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

Logiciel affecté 

Faq sur la mise à jour

Quelle version de produit de Microsoft Service Bus pour Windows Server est affectée par la vulnérabilité ?
Microsoft Service Bus 1.1 est affecté par la vulnérabilité si les versions de produit des fichiers binaires affectés présents sur le système correspondent à celles répertoriées sous Version de produit vulnérable dans le tableau ci-dessous.

Si les versions de produit des fichiers binaires affectés présents sur le système sont supérieures ou égales aux entrées de la deuxième colonne, Microsoft Service Bus 1.1 a été mis à jour pour résoudre la vulnérabilité et n’est pas affecté.

Comment faire connaître la version de Microsoft Service Bus pour Windows Server actuellement installée sur mon système ? 
Si Microsoft Service Bus 1.1 est déjà installé sur votre ordinateur, il est répertorié dans Ajouter ou supprimer des programmes. Vous pouvez case activée le numéro de version du produit pour les fichiers binaires affectés (situé dans le répertoire C :\Program Files\Service Bus\1.1) en affichant leurs propriétés de fichier et en notant la version du produit trouvée sous l’onglet Détails. Les fichiers binaires affectés et les versions de produits vulnérables sont répertoriés dans le tableau ci-dessus.

Comment faire mettre à jour manuellement ma version de Microsoft Service Bus pour Windows Server ? 
Les clients qui choisissent d’installer la mise à jour manuellement, plutôt que d’installer la mise à jour via Microsoft Update, doivent d’abord déterminer quelle version est installée sur le système (Microsoft Service Bus 1.1 est pris en charge sur Windows Server 2008 R2 Service Pack 1, Windows Server 2012 et Windows Server 2012 R2 uniquement). Si Service Bus 1.1 est installé sur le système, case activée la version de build de l’un des fichiers binaires affectés, comme décrit dans les FAQ précédentes. Si la version du produit présente sur le système est vulnérable, téléchargez et installez la mise à jour 2972621 via les liens du Centre de téléchargement Microsoft fournis dans la section Logiciels affectés de ce bulletin.

Cette mise à jour va-t-elle mettre à niveau ma version de Microsoft Service Bus pour Windows Server ? 
Non. La mise à jour 2972621 ne met pas à niveau les versions précédentes de Microsoft Service Bus vers la version 1.1. Microsoft recommande la mise à niveau pour être protégée contre la vulnérabilité décrite dans ce bulletin.

J’utilise une version plus ancienne du logiciel abordé dans ce bulletin de sécurité. Que dois-je faire ? 
Le logiciel concerné répertorié dans ce bulletin a été testé pour déterminer quelles versions sont affectées. D’autres versions sont passées au-delà de leur cycle de vie de support. Pour plus d’informations sur le cycle de vie des produits, consultez le site web Support Microsoft cycle de vie.

Il doit s’agir d’une priorité pour les clients qui ont des versions antérieures du logiciel à migrer vers des versions prises en charge afin d’éviter toute exposition potentielle aux vulnérabilités. Pour déterminer le cycle de vie de prise en charge de votre version logicielle, consultez Sélectionner un produit pour les informations de cycle de vie. Pour plus d’informations sur les Service Packs pour ces versions logicielles, consultez La politique de support du cycle de vie service Pack.

Les clients qui ont besoin d’un support personnalisé pour les logiciels plus anciens doivent contacter leur représentant de l’équipe de compte Microsoft, leur responsable de compte technique ou le représentant partenaire Microsoft approprié pour les options de support personnalisé. Les clients sans contrat Alliance, Premier ou Autorisé peuvent contacter leur bureau de vente Microsoft local. Pour obtenir des informations de contact, consultez le site web Microsoft Worldwide Information , sélectionnez le pays dans la liste des informations de contact, puis cliquez sur Atteindre pour afficher la liste des numéros de téléphone. Lorsque vous appelez, demandez à parler avec le directeur commercial premier support local. Pour plus d’informations, consultez le FAQ Support Microsoft politique de cycle de vie.

Évaluations de gravité et identificateurs de vulnérabilité

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin de juillet. Pour plus d’informations, consultez Microsoft Exploitability Index.

Vulnérabilité de déni de service Service Bus - CVE-2014-2814

Une vulnérabilité de déni de service existe dans Microsoft Service Bus pour Windows Server. Un attaquant authentifié qui a réussi à exploiter la vulnérabilité peut empêcher Service Bus de répondre aux messages AMQP entrants.

Pour afficher cette vulnérabilité comme entrée standard dans la liste Des vulnérabilités et des expositions courantes, consultez CVE-2014-2814.

Facteurs d’atténuation

L’atténuation fait référence à un paramètre, à une configuration courante ou à une meilleure pratique générale, existant dans un état par défaut, qui peut réduire la gravité de l’exploitation d’une vulnérabilité. Les facteurs d’atténuation suivants peuvent être utiles dans votre situation :

• Microsoft Service Bus pour Windows Server n’est fourni avec aucun système d’exploitation Microsoft. Pour qu’un système affecté soit vulnérable, Microsoft Service Bus doit d’abord être téléchargé, installé et configuré, puis ses détails de configuration (certificat de batterie) partagés avec d’autres utilisateurs.

Solutions de contournement

La solution de contournement fait référence à un paramètre ou à une modification de configuration qui ne corrige pas la vulnérabilité sous-jacente, mais qui permet de bloquer les vecteurs d’attaque connus avant d’appliquer la mise à jour. Microsoft a testé les solutions de contournement et les états suivants dans la discussion si une solution de contournement réduit les fonctionnalités :

Désactiver AMQP

Si vous n’avez pas besoin de fonctionnalités de protocole AMQP et de connectivité, vous pouvez désactiver l’utilisation d’AMQP. Pour désactiver AMQP, procédez comme suit :

1. Ouvrez le fichier GatewayComponents.config situé dans le répertoire c :\Program Files\Service Bus\1.1\. (Enregistrez une sauvegarde de ce fichier pour restaurer ultérieurement si vous souhaitez annuler cette solution de contournement.)

2. Supprimez toutes les références au composant « AmqpProtocolHead » et enregistrez le fichier.

3. Pour que la modification prenne effet, exécutez les applets de commande PowerShell Service Bus suivantes :

    stop-sbhost
   

   suivi de

    start-sbhost
   

   Notez que si plusieurs nœuds existent dans la batterie de serveurs Service Bus configurée, les étapes précédentes doivent être effectuées sur chaque nœud de la batterie de serveurs.

Impact de la solution de contournement. Aucune connexion AMQP n’est acceptée.

Comment annuler la solution de contournement.

Pour annuler la solution de contournement, procédez comme suit :

1. Restaurez votre sauvegarde du fichier GatewayComponents.config dans le répertoire c :\Program Files\Service Bus\1.1\.

2. Pour que la modification prenne effet, exécutez les applets de commande PowerShell Service Bus suivantes :

    stop-sbhost
   

   suivi de

    start-sbhost 
   

   Notez que si plusieurs nœuds existent dans la batterie de serveurs Service Bus configurée, les étapes précédentes doivent être effectuées sur chaque nœud de la batterie de serveurs.

FAQ

Quelle est l’étendue de la vulnérabilité ?
Il s’agit d’une vulnérabilité de déni de service.

Quelles sont les causes de la vulnérabilité ?
La vulnérabilité est due au fait que Microsoft Service Bus gère incorrectement les messages AMQP spécialement conçus.

Qu’est-ce que le protocole AMQP (Advanced Message Queuing Protocol) ?
Le protocole AMQP (Advanced Message Queuing Protocol) est un protocole de messagerie efficace et fiable que vous pouvez utiliser pour créer des applications de messagerie multiplateformes robustes. Pour plus d’informations sur Microsoft Service Bus pour Windows Server, Service Bus AMQP : Guide du développeur.

Qu’est-ce que Microsoft Service Bus pour Windows Server ?
Microsoft Service Bus pour Windows Server est un composant installable qui fournit des fonctionnalités de messagerie dans Windows. Il permet aux clients de créer, tester et exécuter des applications basées sur des messages dans des environnements auto-gérés. Pour plus d’informations sur Microsoft Service Bus pour Windows Server, consultez Service Bus pour Windows Server (Service Bus 1.1).

Qu’est-ce qu’un attaquant peut utiliser la vulnérabilité pour faire ?
Un attaquant qui a réussi à exploiter la vulnérabilité pourrait empêcher Microsoft Service Bus de répondre aux messages entrants.

Comment un attaquant pourrait-il exploiter la vulnérabilité ?
Un attaquant authentifié à distance peut exploiter cette vulnérabilité en créant et en exécutant un programme qui envoie une séquence de messages AMQP spécialement conçus au système cible.

Quels systèmes sont principalement exposés à la vulnérabilité ?
Les serveurs Windows avec Microsoft Service Bus pour Windows Server installés sont à risque de cette vulnérabilité.

Que fait la mise à jour ?
La mise à jour résout la vulnérabilité en modifiant la façon dont Microsoft Service Bus pour Windows Server gère les messages AMQP.

Quand ce bulletin de sécurité a été émis, cette vulnérabilité a-t-elle été divulguée publiquement ?
Oui. Cette vulnérabilité a été divulguée publiquement. Il a été affecté à la vulnérabilité commune et au numéro d’exposition CVE-2014-2814.

Quand ce bulletin de sécurité a été émis, Microsoft a-t-il reçu des rapports indiquant que cette vulnérabilité était exploitée ?
Non. Microsoft ne connaît pas les attaques qui tentent d’exploiter cette vulnérabilité.

Outils et conseils de détection et de déploiement

Plusieurs ressources sont disponibles pour aider les administrateurs à déployer des mises à jour de sécurité. 

• Microsoft Baseline Security Analyzer (Mo SA) permet aux administrateurs d’analyser les systèmes locaux et distants pour détecter les mises à jour de sécurité manquantes et les configurations incorrectes de sécurité courantes. 
• Windows Server Update Services (WSUS), Systems Management Server (SMS) et System Center Configuration Manager aident les administrateurs à distribuer les mises à jour de sécurité. 
• Les composants de l’évaluateur de compatibilité de mise à jour inclus avec la compatibilité des applications Shared Computer Toolkit facilitent le test et la validation des mises à jour Windows sur les applications installées. 

Pour plus d’informations sur ces outils et d’autres outils disponibles, consultez Outils de sécurité pour les professionnels de l’informatique. 

Déploiement des mises à jour de sécurité

Microsoft Service Bus pour Windows Server

Tableau de référence

Le tableau suivant contient les informations de mise à jour de sécurité pour ce logiciel.

Autres informations

Programme Microsoft Active Protections (MAPP)

Pour améliorer les protections de sécurité pour les clients, Microsoft fournit des informations sur les vulnérabilités aux principaux fournisseurs de logiciels de sécurité avant chaque version mensuelle de la mise à jour de sécurité. Les fournisseurs de logiciels de sécurité peuvent ensuite utiliser ces informations de vulnérabilité pour fournir des protections mises à jour aux clients via leurs logiciels ou appareils de sécurité, tels que les systèmes antivirus, les systèmes de détection d’intrusion basés sur le réseau ou les systèmes de prévention des intrusions basés sur l’hôte. Pour déterminer si les protections actives sont disponibles auprès des fournisseurs de logiciels de sécurité, accédez aux sites web de protection actifs fournis par les partenaires du programme, répertoriés dans les partenaires microsoft Active Protections Program (MAPP).

Support

Comment obtenir de l’aide et de la prise en charge de cette mise à jour de sécurité

• Aide sur l’installation des mises à jour : Prise en charge de Microsoft Update
• Solutions de sécurité pour les professionnels de l’informatique : Résolution des problèmes et support de techNet Security
• Aider à protéger votre ordinateur exécutant Windows contre les virus et les programmes malveillants : Solution antivirus et Security Center
• Support local selon votre pays : Support international

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (8 juillet 2014) : Bulletin publié.
• V2.0 (14 octobre 2014) : Bulletin réédité pour annoncer l’offre de la mise à jour de sécurité via Microsoft Update, en plus de l’option Télécharger uniquement fournie lors de la publication de ce bulletin. Les clients qui ont déjà mis à jour leurs systèmes n’ont pas besoin d’agir.

Page générée 2014-10-01 10 :14Z-07 :00.