Bulletin de sécurité Microsoft MS15-082 - Important

Les vulnérabilités dans RDP peuvent autoriser l’exécution de code à distance (3080348)

Publication : 11 août 2015 | Mise à jour : 23 décembre 2015

Version : 1.1

Résumé

Cette mise à jour de sécurité résout les vulnérabilités dans Microsoft Windows. Les vulnérabilités les plus graves peuvent permettre l’exécution de code distant si un attaquant place d’abord un fichier DLL (Dynamic Link Library) spécialement conçu dans le répertoire de travail actuel de l’utilisateur cible, puis convainc l’utilisateur d’ouvrir un fichier RDP (Remote Desktop Protocol) ou de lancer un programme conçu pour charger un fichier DLL approuvé, mais charge plutôt le fichier DLL spécialement conçu par l’attaquant. Un attaquant qui a réussi à exploiter les vulnérabilités peut prendre le contrôle complet d’un système affecté. Un attaquant peut alors installer des programmes, afficher, modifier ou supprimer des données, ou créer des comptes avec des droits d’utilisateur complets.

Cette mise à jour de sécurité est classée Importante pour toutes les versions prises en charge de Microsoft Window, à l’exception de Windows 10, qui n’est pas affectée. Pour plus d’informations, consultez la section Logiciels affectés.

La mise à jour de sécurité résout la vulnérabilité en corrigeant la façon dont l’hôte de session Bureau à distance (RDSH) valide les certificats et en corrigeant la façon dont RDP charge certains fichiers binaires. Pour plus d’informations sur la vulnérabilité, consultez la section Informations sur les vulnérabilités.

Pour plus d’informations sur cette mise à jour, consultez l’article de la Base de connaissances Microsoft 3080348.

Logiciel affecté

Les versions ou éditions logicielles suivantes sont affectées. Les versions ou éditions qui ne sont pas répertoriées sont passées par leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

^[1]Les clients exécutant RDP 7.0 sur les éditions prises en charge de Windows Vista n’ont besoin que d’installer la mise à jour 3075221. Pour plus d’informations, consultez le FORUM aux questions sur la mise à jour.

^[2]Les clients exécutant RDP 8.0 sur les éditions prises en charge de Windows 7 ou Windows Server 2008 R2 n’ont besoin que d’installer la mise à jour 3075222. Pour plus d’informations, consultez le FORUM aux questions sur la mise à jour.

^[3]Les clients exécutant RDP 8.1 sur les éditions prises en charge de Windows 7 ou Windows Server 2008 R2 n’ont besoin que d’installer la mise à jour 3075226. Pour plus d’informations, consultez le FORUM aux questions sur la mise à jour.

[4] Cette mise à jour est disponible uniquement via Windows Update .

*La colonne Mises à jour remplacée affiche uniquement la dernière mise à jour dans une chaîne de mises à jour remplacées. Pour obtenir la liste complète des mises à jour remplacées, accédez au catalogue Microsoft Update, recherchez le numéro de mise à jour Ko, puis affichez les détails de la mise à jour (les informations remplacées sont sous l’onglet Détails du package).

Faq sur la mise à jour

Je exécute Windows Vista. Pourquoi ne suis-je pas proposé les deux mises à jour répertoriées dans la table Logicielle affectée pour Windows Vista ? 
La mise à jour que vous devez installer dépend de l’installation de RDP 7.0 sur votre ordinateur :

• Si rdp 7.0 n’est pas installé, vous devez uniquement installer la mise à jour 3075220 pour être entièrement protégé contre les vulnérabilités décrites dans ce bulletin.
• Si rdp 7.0 est installé, vous devez uniquement installer la mise à jour 3075221 pour être entièrement protégé contre les vulnérabilités décrites dans ce bulletin.

Pour plus d’informations sur RDP 7.0, consultez l’article de la Base de connaissances Microsoft 969084.

J’exécute Windows 7 ou Windows Server 2008 R2. Pourquoi ne suis-je pas proposé les trois mises à jour répertoriées dans la table Logicielle affectée pour ces éditions de Windows ?
La mise à jour que vous devez installer dépend de la version de RDP que vous avez installée sur votre ordinateur :

• Si aucune version de RDP n’est installée, vous devez uniquement installer la mise à jour 3075220 pour être entièrement protégée contre les vulnérabilités décrites dans ce bulletin.
• Si rdp 8.0 est installé, vous devez uniquement installer la mise à jour 3075222 pour être entièrement protégé contre les vulnérabilités décrites dans ce bulletin.
• Si rdp 8.1 est installé, vous devez uniquement installer la mise à jour 3075226 pour être entièrement protégé contre les vulnérabilités décrites dans ce bulletin.

Pour plus d’informations sur RDP 8.0, consultez l’article 2592687 de la Base de connaissances Microsoft.

Pour plus d’informations sur RDP 8.1, consultez l’article 2830477 de la Base de connaissances Microsoft.

Évaluations de gravité et identificateurs de vulnérabilité

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin d’août.

Informations sur la vulnérabilité

Vulnérabilité d’usurpation d’identité de l’hôte de session Bureau à distance - CVE-2015-2472

Une vulnérabilité d’usurpation existe lorsque l’hôte de session Bureau à distance (RDSH) valide incorrectement les certificats lors de l’authentification. Un attaquant qui a réussi à exploiter cette vulnérabilité peut emprunter l’identité de la session cliente.

Pour exploiter la vulnérabilité, dans une attaque miTM (man-in-the-middle), un attaquant peut générer un certificat non approuvé qui correspond au nom de l’émetteur et au numéro de série des certificats approuvés. La mise à jour résout la vulnérabilité en corrigeant la façon dont RDSH valide les certificats.

Microsoft a reçu des informations sur cette vulnérabilité par le biais d’une divulgation coordonnée des vulnérabilités. Lorsque ce bulletin de sécurité a été émis, Microsoft n’avait reçu aucune information pour indiquer que cette vulnérabilité avait été utilisée publiquement pour attaquer les clients.

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour cette vulnérabilité.

Dll de protocole Bureau à distance - Vulnérabilité d’exécution de code à distance - CVE-2015-2473

Une vulnérabilité d’exécution de code à distance existe lorsque le client microsoft Windows Remote Desktop Protocol gère incorrectement le chargement de certains fichiers DLL spécialement conçus. Un attaquant qui a réussi à exploiter cette vulnérabilité peut prendre le contrôle complet d’un système affecté. Un attaquant peut alors installer des programmes, afficher, modifier ou supprimer des données, ou créer des comptes avec des droits d’utilisateur complets.

Pour exploiter cette vulnérabilité, un attaquant doit d’abord placer un fichier DLL spécialement conçu dans le répertoire de travail actuel de l’utilisateur cible, puis convaincre l’utilisateur d’ouvrir un fichier RDP spécialement conçu. Dans un scénario d’attaque web, un attaquant peut héberger un site web (ou tirer parti d’un site web compromis qui accepte ou héberge du contenu fourni par l’utilisateur) qui contient un fichier RDP spécialement conçu pour exploiter la vulnérabilité. Un attaquant n’aurait aucun moyen de forcer l’utilisateur à visiter le site web. Au lieu de cela, un attaquant aurait à convaincre l’utilisateur de cliquer sur un lien, généralement par le biais d’un enticement dans un e-mail ou un message Instantané Messenger.

La mise à jour résout la vulnérabilité en corrigeant la façon dont le client RDP Windows charge certains fichiers binaires.

Microsoft a reçu des informations sur cette vulnérabilité par le biais d’une divulgation coordonnée des vulnérabilités. Lorsque ce bulletin de sécurité a été émis, Microsoft n’avait reçu aucune information pour indiquer que cette vulnérabilité avait été utilisée publiquement pour attaquer les clients.

Facteurs d’atténuation

Les facteurs d’atténuation suivants peuvent être utiles dans votre situation :

• Par défaut, le service serveur RDP n’est pas activé sur un système d’exploitation Windows. Les systèmes dont le service serveur RDP n’est pas activé ne sont pas exposés au risque.

Solutions de contournement

La solution de contournement suivante peut être utile dans votre situation :

• Supprimer l’association de fichiers .rdp

  Avertissement À l’aide de l’Éditeur de Registre incorrectement peut entraîner de graves problèmes qui peuvent nécessiter la réinstallation de votre système d’exploitation. Microsoft ne peut pas garantir que les problèmes résultant d'une utilisation incorrecte de l'éditeur du Registre puissent être résolus. Son utilisation est sous votre entière responsabilité. Pour plus d’informations sur la modification du Registre, consultez la rubrique d’aide « Modification des clés et des valeurs » dans l’Éditeur de Registre (Regedit.exe) ou affichez les rubriques d’aide « Ajouter et supprimer des informations dans le Registre » et « Modifier les données du Registre » dans Regedt32.exe.

  Méthode 1 (modifier manuellement le registre système) :

  1. Cliquez sur Démarrer, cliquez sur Exécuter, tapez Regedit dans la zone Ouvrir , puis cliquez sur OK.

  2. Développez HKEY_CLASSES_ROOT, cliquez sur RDP. Fichier, puis cliquez sur le menu Fichier , puis sélectionnez Exporter.

  3. Dans la boîte de dialogue Exporter le fichier de registre, tapez le registre d’association de fichiers HKCR RDPfile backup.reg , puis cliquez sur Enregistrer. Cela crée une sauvegarde de cette clé de Registre dans le dossier Mes documents par défaut.

  4. Appuyez sur la touche Supprimer du clavier pour supprimer la touche de Registre. Lorsque vous êtes invité à supprimer la valeur de Registre, cliquez sur Oui.

  5. Accédez à l’emplacement de Registre suivant :

     HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts
     

  6. Cliquez sur .rdp, puis cliquez sur le menu Fichier , puis sur Exporter.

  7. Accédez à l’emplacement de Registre suivant :

     HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy
     

  8. Dans la boîte de dialogue Exporter le fichier du Registre, tapez le registre d’association de fichiers HKCU backup.reg , puis cliquez sur Enregistrer. Cela crée une sauvegarde de cette clé de Registre dans le dossier Mes documents par défaut.

  9. Appuyez sur la touche Supprimer du clavier pour supprimer la touche de Registre. Lorsque vous êtes invité à supprimer la valeur de Registre, cliquez sur Oui.

  Méthode 2 (Utiliser un script de déploiement managé) :

  1. Créez une copie de sauvegarde des clés de Registre en exécutant les commandes suivantes :

     Regedit.exe /e rdpfile_HKCR_registry_backup.reg HKEY_CLASSES_ROOT\RDP.File 
     Regedit.exe /e rdp_HKCU_registry_backup.reg HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.rdp
     

  2. Enregistrez les éléments suivants dans un fichier avec un fichier . Extension REG (par exemple, Delete_rdp_file_association.reg) :

     Windows Registry Editor Version 5.00  
     [-HKEY_CLASSES_ROOT\RDP.File]  
     [-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.rdp]
     

  3. Cliquez sur Démarrer, cliquez sur Exécuter, tapez Regedit dans la zone Ouvrir , puis cliquez sur OK.

  4. Exécutez le script de Registre que vous avez créé à l’étape b sur l’ordinateur cible à l’aide de la commande suivante :

     Regedit.exe /s Delete_rdp_file_association.reg
     

Impact de la solution de contournement. Le double-clic sur un fichier .jnt ne lance plus journal.exe

Comment annuler la solution de contournement

Restaurez la clé de Registre à l’aide de Regedit pour restaurer les paramètres que vous avez enregistrés dans le . Fichiers REG.

Déploiement des mises à jour de sécurité

Pour plus d’informations sur le déploiement des mises à jour de sécurité, consultez l’article de la Base de connaissances Microsoft référencé dans le résumé exécutif.

Remerciements

Microsoft reconnaît les efforts de ceux de la communauté de sécurité qui nous aident à protéger les clients par le biais d’une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez accusés de réception.

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (11 août 2015) : Bulletin publié.
• V1.1 (23 décembre 2015) : Bulletin révisé pour corriger le Mises à jour remplacé pour l’option d’installation Server Core sur Windows Server 2008 et Windows Server 2008 R2. Il s’agit d’une modification d’information uniquement. Les clients qui ont correctement installé les mises à jour n’ont pas besoin d’effectuer d’autres actions.

Page générée 2015-12-22 17 :33Z-08 :00.